Le password di Lion

Recentemente è stato diffuso un "bollettino sulla sicurezza" riguardante una vulnerabilità critica del nuovo sistema operativo di Apple, Lion, e inerente al sistema di gestione e memorizzazione delle password degli utenti di sistema. E' infatti possibile, per utenti non-root, riuscire a visualizzare i dati della password di un qualsiasi utente locale, leggendo gli hash della stessa direttamente da uno specifico shadow file utente, cosa che invece dovrebbe essere consentito solo utenti con privilegi molto elevati (l'utente root, per intenderci). Questa tecnica di gestione delle password utente é stata implementata con successo da Apple a partire dalle prime versioni di Tiger; ogni singolo utente deve utilizzare esclusivamente i propri shadow file, che sono però accessibili in modo esclusivo solo dall'utente root. Una tecnica che ha sempre funzionato in modo corretto e senza nessun impatto sulla sicurezza. Il problema però sarebbe nato solo in seguito alla riprogettazione degli schemi di autenticazione implementati in Lion in cui, evidentemente, sono stati rimossi alcuni passaggi fondamentali che ne garantivano la sicurezza. Agli utenti non-root, infatti, é ancora impedito l'accesso diretto agli shadow file di altri utenti, ma ora però é invece possibile accedere all’hash della password, grazie proprio ad una utility di sistema che ne estrae i dati dal "Directory Service". Tutto questo permette quindi di cambiare direttamente la password di un utente senza che venga richiesta l'autenticazione. Potete provare anche voi a cambiare la password di login di un utente semplicemente con il seguente comando in una shell:
dscl localhost -passwd /Search/Users/xxxxx
dove xxxxx identifica il nome dell'account di un utente esistente sul Mac. Capirete bene che il problema diventa critico se ad essere "attaccato" é un utente con diritti di amministratore. Al momento, nelle build di sviluppo della versione 10.7.2, la vulnerabilità risulta essere ancora presente ed é potenzialmente sfruttabile. Alcuni consigli che potete seguire per arginare questo problema sono molto semplici:

• Impostate una password di tipo “strong”, utilizzando almeno 10 caratteri alfanumerici (sempre che poi riusciate a ricordarvela!).

• Attivate lo screen saver ed impostatene la disattivazione solamente tramite password. Ricordatevi inoltre di attivarlo ogni volta che lasciate incustodito il Mac;

• Disabilitate il logon automatico.

Permettetevi comunque di aggiungere che se non usate un po' di buon senso e lasciate incustodito al logon il vostro Mac (ma anche un PC con WinZoz), non saranno certo le patch di sicurezza ad impedire che vi possano cambiare la password utente o che qualcuno si metta a copiare i dati memorizzati sul vostro hard disk!