Sécurité : grosse faille dans le bac à sable d'OS X

Nicolas Furno |
À l'occasion de la conférence PacSec 2012 qui se tient aujourd'hui et demain à Tokyo, le spécialiste en sécurité informatique Paul Sebastian Ziegler a démontré que l'on peut facilement contourner les protections du sandboxing pour concevoir un logiciel malveillant sur OS X. Il a réussi à créer un programme qui enregistre tout ce que l'utilisateur tape au clavier et qui prend régulièrement des captures d'écran tout en respectant les règles du sandboxing et en utilisant un compte utilisateur standard.





Son astuce constitue à exploiter les API d'accessibilité qui facilitent l'utilisation d'OS X pour les personnes ayant une déficience visuelle. Ce spécialiste a ainsi démontré la faiblesse du modèle choisi par Apple, sachant qu'une telle application pourrait théoriquement se retrouver sur le Mac App Store. Pis, son logiciel de démonstration a été capable de récupérer le mot de passe administrateur de la machine, laissant la porte ouverte à des manipulations plus gênantes encore.


Le sandboxing était la solution d'Apple pour protéger efficacement ses utilisateurs contre les malwares. Manifestement, ce n'est pas suffisant.


Pour l'heure, on ne sait pas si Apple pourra rapidement corriger cette faille de sécurité sans remettre en cause les fonctions d'accessibilité d'OS X. On imagine que le constructeur mettra tout en œuvre pour ne pas laisser cette porte ouverte trop longtemps, il en va de la réputation de son sandboxing et plus largement de la sécurité de son système d'exploitation et de sa boutique.

Sur le même sujet :

- OS X Lion : comprendre le casse-tête du sandboxing
- OS X Mountain Lion : les développeurs, Gatekeeper et le sandboxing

avatar demenla971 | 

Cool c'est l'effet kiss cool!

avatar Jackdu59 | 

Ça valait le coup de faire chier tout le monde sur le MAS avec ça.

avatar Le babs | 

CQFD ... même les mac ne sont plus fiables !

avatar virgilerl | 

Bien ! Il devrait être payé par La Pomme

avatar dhm82 | 

mise a jour de sécurité 12.3.5 pour microsoft office 2008

avatar Hurrican | 

Çà, çà fait mal. :-/

avatar Nesus | 

Oui sauf que c'est une faille qui ne peut toucher que ceux qui activent l'accès universel. Tous les autres sont "protégé". D'où le fait qu'Apple l'ait laissé "passer".
Ça reste toutefois très gênant et il va falloir se mettre au boulot dardar. .

avatar xonotor | 

Cette histoire de sandboxing puait le moisi depuis le début...
Admettre l'erreur et supprimer l'obligation pour le MAS serait la meilleur chose à faire en attendant une alternative.

avatar skwale | 

en quoi un logiciel qui prend des screenshots et qui enregistre la frappe est un logiciel qui contourne le sandboxing?
Je ne suis pas certain que le sandboxing bloque ces accès, sinon plus de logiciels de screenshots ni de textexpander like dans le MAS...

avatar lambdachronicles | 

Ca ne serai pas arrivé si le mac avait été équipé du firewall open office !

avatar lmouillart | 

Le sandboxing est nécessaire est non suffisant
Le sandboxing sous OS X est trop limité
Le sandboxing est le principal angle d'attaque des systèmes aillant justement un sandboxing : Java, Flash, Chrome, ... dans la plupart des cas d'une faille par trimestre à plusieurs, sans sandboxing ne resultat serait encore pire

Quoi faire ? Avoir des machines validés et à jours, que l'éditeur ai une réel politique de sécurité avec des jalons préalablement connu.

Le sandboxing ne sera pas supprimé.

avatar oomu | 

Sandboxer les fonctions d'accessibilité est l'étape suivante, c'est tout.

On se doute bien que c'était risqué : elles ouvrent un canal de communication entre programmes

par exemple, le petit logiciel "popclip" marche grâce à cela.

Pour ceux que ça intéresse, le mécanisme XPC de os x est certainement la solution qu'apple mettra en oeuvre pour régler le problème.

-
Le Sandboxing est évidemment la bonne réponse.

Et évidemment, il devient l'aspect le plus critique en sécurité.

Le MAS permet de limiter la casse. Malheureusement les faits, et cette histoire encore, montre bien l'intérêt du MAS et de la validation des logiciels qu'on jette à la figure des gens. Je dis "malheureusement", parce que fondamentalement je préfèrerais qu'on évite d'avoir un tiers obligatoire pour installer des logiciels, mais on voit bien que c'est dans l'intérêt des utilisateurs.

-
Rome ne s'est pas faite en un jour (ni même en 5 ans).

avatar Alex94 | 

Tant que le mec n'a pas infecté 500000 utilisateurs dans le monde...ça reste de la pratique qu'il a testé sur sa propre machine. L'article dit bien "une application comme ça pourrait théoriquement se retrouver sur le Mac APP store". Ça dit bien théoriquement.... :-)

avatar oomu | 

@xonotor [14/11/2012 10:33]

>Cette histoire de sandboxing puait le moisi depuis le début...

non. c'est une technique utile. Elle empêche qu'un logiciel soit tout puissant sous prétexte que vous l'avez exécuté.

"Admettre l'erreur et supprimer l'obligation pour le MAS serait la meilleur chose à faire en attendant une alternative."

L'erreur est effectivement de laisser les fonctions d'accessibiltié être globale à tout le système. A mon sens, c'est plutôt qu'Apple laisse ça comme chantier pour prochaine version, ML ayant déjà des briques pour amener une solution.

Le code qui gère ses fonctions doit être lui même sandboxé (bridé) et accessible que logiciel par logiciel.

La communication entre programme via l'accessibilité doit être activement démarrée par l'utilisateur et non implicite sous prétexte qu'on a coché la case pour zoomer l'écran ou pouvoir utiliser la description audio de l'interface.

Popclip, par exemple, sera ainsi bridé, il lui faudra obtenir un certificat lui autorisant son accès, ou devenir un service sandboxé, avec une préférence système dédié informant l'utilisateur qu'il ajoute un service au système.

avatar ErGo_404 | 

[quote]skwale [14/11/2012 10:35]

en quoi un logiciel qui prend des screenshots et qui enregistre la frappe est un logiciel qui contourne le sandboxing?
Je ne suis pas certain que le sandboxing bloque ces accès, sinon plus de logiciels de screenshots ni de textexpander like dans le MAS... [/quote]
Alors le sandboxing ne sert à rien. Si n'importe quelle appli peut avoir accès à ce que tu tapes dans n'importe quelle autre application (soit à ce que tu tapes soit à des screenshots) tu te rends bien compte que tu peux récupérer les mots de passe et les identifiants de l'utilisateur.
Tout le principe du sandboxing est de séparer les applications pour qu'une appli ne puisse pas être consciente de ce qui se passe en dehors de sa fenêtre. Si ce principe n'est pas respecté, le sandboxing est à mettre à la poubelle.

avatar joneskind | 

@xonotor :
Ce que tu dis est totalement stupide. Le Sandboxing montre ici une faille exploitable via les paramètres d'accessibilité. Il marche plutôt bien pour tout le reste. Donc il faut revoir cette faille particulière et faire plus attention à toutes les apps qui font appel à l'accessibilité. On va pas détruire la forteresse parce qu'elle a un point faible !

avatar rokdun | 

@lmouillart et @oomu : +1
il n'y a pas de solution 100% fiable, il n'y a que des moyens de compliquer la vie des pirates...

après m'être chopé deux virus bien pénibles (sur Windows) j'ai sandboxé mon browser web: il tourne désormais dans une machine virtuelle VirtualBox. Ce qui m'a déjà permis d'éviter un ou deux autres virus.

avatar Jimmy_ | 

Vite un petit commentaire d'un dévoué du marketing d'Apple pour nous expliquer que tout ceci n'est que mensonge et manipulation :-)

avatar bugman | 

Le pire avec le sandbixing c'est que les utilisateurs se croient en sécurité et en deviennent logiquement plus tolèrent envers ce qu'ils installent sur leurs machines. Piège à 'cons'.

avatar robrob | 

@oomu
Il ne s'agit pas ici d'une communication entre programmes mais du fait que l'accessibilite donne acces au clavier afin d'offrir des fonctions autour de la frappe clavier (affichage en gros de la lettre tapee par exemple pour les malvoyants afin de verifier leur frappe). Ca fonctionnerait sans probleme meme si la communication inter-applications etait bloquee.

avatar ThePapyGeek | 

Quand une idée au final se revele foireuse...

avatar 6ix | 

L'article me semble bien pessimiste, et certains commentaires qui s'en suivent lui emboîtent le pas. En effet le système de sandboxing mis en place par Apple doit être amélioré, et il y aura toujours de temps à autre une faille à combler. Mais ce n'est pas pour autant qu'il faut remettre en cause tout le fonctionnement du sandboxing! Là on a presque l'impression que ce système *ajoute* de la vulnérabilité…

avatar CKJBeOS | 

@rokdun : c'est clair +1
en attendant si on compte le nombre de malwares actifs et faisant de VRAI dégat sur OS X, on assez d'une main ;) donc même si les solutions ne sont pas fiables à 100% et bien ça en démontre l’intérêt !

avatar Macleone | 

Les API d'accessibilité ne sont pas activé par défaut sur le système, et leur usage n'est pas possible depuis les applications du MAS à priori, donc je ne vois pas trop en quoi le système est remis en question.

avatar Orus | 

Le Sandboxing ne sert à rien. Toute protection ne fait qu'attiser les pulsions des hackers, et ne tiendra jamais bien longtemps. Et surtout fait croire à l'utilisateur qu'il ne risque rien.
Ce qui est nécessaire c'est un cerveau chez l'utilisateur, mais ça...

Pages

CONNEXION UTILISATEUR