Novo macOS lançado nesta segunda-feira já vem com falha de segurança [atualizado]

A mais nova atualização do macOS, a High Sierra, foi lançado hoje (25) com uma série de melhorias de segurança, como o bloqueio de propagandas invasivas no Safari e uma validação semanal de firmware. Porém, parece que a novidade vem também com um problema de segurança – um pesquisador de segurança na Synack já descobriu uma maneira de roubar senhas do novo sistema operacional para computadores da Apple.

Patrick Wardle, chefe de pesquisa na Synack, revelou este problema hoje em um vídeo onde ele demonstra um código que parece extrair senhas do Keychain, o app administrador de senhas dos computadores Mac. Se os usuários optam em usá-lo, eles podem armazenar informações de login de sites, cartões de crédito e senhas de WiFi nele.

Normalmente, a informação dentro do Keychain é bloqueada com uma senha mestre criada pelo usuário. Mas Wardle pode extrair senhas de dentro do app sem a necessidade da senha mestre, mostrando que um hacker com acesso a um computador desbloqueado pode roubar dados armazenados no aplicativo.

“Aplicações rodando em seu sistema são autorizados a acessar todas as informações no Keychain sem qualquer interação do usuário”, disse Wardle ao Gizmodo. “Existe uma vulnerabilidade que permite que códigos locais acessam o keychain e contornar os componentes de segurança”.

O vídeo passo a passo de Wardle demonstra o software “keychainStealer” roubando senhas do Twitter, Facebook e Bank of America. Ele não tornou a vulnerabilidade pública, então é possível que usuários ainda estejam seguros.

Wardle reportou a vulnerabilidade para a Apple no dia 7 de setembro e diz que espera que a companhia disponibilize uma correção rapidamente. Ele disse ainda que não tornará a brecha pública até que ela seja corrigida. Ele desenhou o ataque com a suposição de que o Keychain ficasse desbloqueado, uma vez que a senha de login de um usuário é geralmente utilizada para destravar o Keychain. No entanto, se um usuário definir uma senha diferente para o Keychain, o ataque não funcionaria. Wardle também notou que a vulnerabilidade existe em versões anteriores do macOS, bem como no High Sierra.

“Se eu consegui encontrar esses erros, obviamente nações estado, adversários maliciosos e outros cibercriminosos possuem muito mais tempo e recursos. Estou seguro de que encontrarão esses bugs também”, explicou Wardle.

Alguns usuários do Mac tweetaram que eles iriam evitar atualizar para o High Sierra até que o problema fosse corrigido, mas Wardle não recomenda evitar o update para a mais nova versão do macOS. “Acho que todos deveriam atualizar. Existem vários recursos de segurança incorporados. Esse ataque funciona em versões antidas do macOS também. Não há nenhum motivo para não atualizar”, disse.

O Gizmodo contatou a Apple e o pesquisador para comentar a história a atualizaremos em breve.

Esta publicação foi atualizada com comentários de Patick Wardle e comentários da Apple.

Abrir uma aplicação como a de Wardle exigiria a aprovação explícita do usuário, de acordo com um porta-voz da Apple. “macOS foi projetado para ser seguro por padrão, e o Guardião alerta o usuário contra a instalação de apps não certificados, como este demonstrado nesta prova de conceito, e previne que eles seham abertos sem aprovação explícita. Encorajamos os usuários a baixarem apenas softwares de fontes confiáveis como a Mac App Store, e a prestarem bastante atenção às caixas de diálogo sobre segurança apresentadas pelo macOS”, disse o porta-voz ao Gizmodo.

[Forbes]