Un logiciel qui met le Mac à nu !, Réactions à la news du 30-04-2007

[Lionel]

Source : Macquebec

Subrosasoft commercialise un logiciel qui risque de faire froid dans le dos à beaucoup de personnes.
MacLockPick, fourni sur une clé USB, permet à l'insertion de cette dernière de récupérer tous les mots de passe présents sur une machine, que ce soient ceux qui verrouillent un disque Filevault que tous les mots de passe utilisateur des applications, des comptes mail, des comptes utilisateurs...
Il va encore plus loin et fouille les historiques des navigateurs, de Quicktime... pour tout savoir sur l'utilisateur.
Ce logiciel qui coûte 499$ ne sera vendu qu'aux forces de l'ordre et autres personnes habilitées à des investigations.
Mais l'enfer étant pavé de bonnes intentions, il suffira qu'une seule des personnes l'ayant à sa disposition légalement ne joue à le balancer sur le réseau pour qu'il échappe à tout contrôle et ne tombe entre des mains malveillantes.
Souhaitons qu'Apple réagisse fermement à ce qui n'est pour le commun des mortels qu'une faille de sécurité majeure de son système.

[dulrich]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

[reversi]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

Mouais, douce illusion...

Comme Filevault, c'est une bête image disque, on peut l'attaquer à coup de dictionnaire. Ensuite, il faut bien se dire que si Filevault n'était pas déchiffrable par les agences gouvernementales (NSA par exemple), il ne serait tout simplement pas disponible en vente au public.

Dans le passé, il y a des softs qui étaient vendus avec une certaine puissance de chiffrage dans certains pays et une autre dans d'autres.

Donc :

- pratiquement aucune chance pour un utilisateur de récupérer des informations avec un accès physique.

- peu de chance pour un utilisateur averti de récupérer des informations.

- 100% de chance pour une agence gouvernementale de récupérer des informations.

J'ai trouvé un autre coupable :
les réglages par défaut du Keychain
...
s'est affligent, les deux cases du bas sont cochées par défaut

Encore heureux que ces cases soient cochées par défaut. Sinon, ca retirerait tout l'intérêt de la Keychain du point de vue utilisation.

On se retrouverait dans le cas suivant :

Tu te loggues.
Tu lances Mail, Mail essaye de rappatrier tes courriers mais va te demander ton mot de passe keychain.

En gros, l'utilisateur devrait rentrer 2 fois un mot de passe pour récupérer son courrier...

Tu es en connexion automatique sous AirPort, allez encore une demande de mot de passe.

Il y a une limite floue entre la sécurité et la facilité d'utilisation.

Pour rappel par défaut, Mac OS X est en auto login... C'est quand même un peu plus génant.