Un logiciel qui met le Mac à nu !, Réactions à la news du 30-04-2007

[Lionel]

Source : Macquebec

Subrosasoft commercialise un logiciel qui risque de faire froid dans le dos à beaucoup de personnes.
MacLockPick, fourni sur une clé USB, permet à l'insertion de cette dernière de récupérer tous les mots de passe présents sur une machine, que ce soient ceux qui verrouillent un disque Filevault que tous les mots de passe utilisateur des applications, des comptes mail, des comptes utilisateurs...
Il va encore plus loin et fouille les historiques des navigateurs, de Quicktime... pour tout savoir sur l'utilisateur.
Ce logiciel qui coûte 499$ ne sera vendu qu'aux forces de l'ordre et autres personnes habilitées à des investigations.
Mais l'enfer étant pavé de bonnes intentions, il suffira qu'une seule des personnes l'ayant à sa disposition légalement ne joue à le balancer sur le réseau pour qu'il échappe à tout contrôle et ne tombe entre des mains malveillantes.
Souhaitons qu'Apple réagisse fermement à ce qui n'est pour le commun des mortels qu'une faille de sécurité majeure de son système.

[olyced]

Merci dulrich, enfin un commentaire qui remet les choses en place!

MacLockPick takes advantage of the fact that the default state of the Apple Keychain is open, even if the system has been put to sleep.

Effectivement, la majorité des utilisateurs ne connaissent même pas l'existence du menu Edition -> Modifier les réglages du trousseau "session"…


Qui a ces deux cases cochées ?

Et même avec le trousseau déverrouillé, j'aimerais bien savoir comment ils font pour obtenir la quantité de mots de passes qu'ils prétendent pouvoir obtenir. Z'avez déjà remarqué que le trousseau redemande le mot de passe lorsque l'on clique sur Afficher le mot de passe. Eh bien il se passe exactement la même chose lorsqu'une autre application essaye de lire un mot de passe qui ne lui est pas destiné dans le trousseau.

Je voudrais juste avoir des précisions sur un point: pourquoi est-ce que j'ai besoin de rentrer mon mot de passe admin lorsque je veux voir un mot de passe dans le trousseau?

C'est parce que le trousseau d'accès n'est pas autorisé à accéder aux mots de passes! Seule l'application pour laquelle le mot de passe a été enregistré a le droit d'y accéder sans qu'il y ait besoin d'entrer un mot de passe.
Tout est expliqué en détail dans le Keychain Services Programming Guide.

[ParanoX]

J'ai trouvé un autre coupable :
les réglages par défaut du Keychain

s'est affligent, les deux cases du bas sont cochées par défaut

@titou pour la Magic Key de l'AES 128, le problème c'est le "en principe"
et pour le cas de ce soft, il est accessible aussi au personne détenant une licence de détéctive privé, de chasseurs de primes en plus des personnels des force de l'ordre et d'investigation policière.
et pour obtenir un licence il sufit d'avoir un casier vierge dans l'état ou tu en fait la demande...

bon en même temps ce n'est pas tant que l'on puisse craindre quoi que ce soit vis à vis de la loi.
Mais plûtot de ceux qui pourraient en abuser comme dans le cas des détectives privés mais surtout dans le cas où ce soft serait déplombé et rendu accessible au plus grand nombre

Bon pour le moment sont fonctionnement est lié à sa presence physique sur la clef USB (j'espère que le lien est du même ordre que celui des dongle indéplombables)

Ce message a été modifié par ParanoX - 30 Apr 2007, 09:53.