Une première faille dans le système de sandboxing d'OS X Lion

Anthony Nelzin-Santos |
skitchedAu printemps prochain, les applications du Mac App Store devront utiliser le sandboxing : elles ne pourront plus sortir d'un bac à sable leur laissant un accès limité aux données et au système, au bénéfice théorique de la sécurité de l'utilisateur (lire : OS X Lion : comprendre le casse-tête du sandboxing). Un bénéfice théoriquement seulement : le sandboxing est un système très imparfait et les chercheurs de CoreLabs Research ont déjà trouvé une faille dans celui d'OS X Lion.

Le principe du sandboxing repose sur la limitation des accès aux données et au système par un jeu de « permissions » : les apps doivent déclarer les fonctions dont elles ont besoin, et ne peuvent théoriquement pas accéder aux autres. CoreLabs a néanmoins trouvé une faille par laquelle les apps peuvent outrepasser leurs droits, et donc sortir de leur bac à sable.

sandboxingCette faille consister à utiliser osascript (un mécanisme pour exécuter des AppleScripts) pour déclencher des Apple Events permettant à launchd (le framework contrôlant le lancement, la gestion et l'arrêt d'applications, processus et démons) de démarrer un nouveau processus. Ce nouveau processus n'étant pas un enfant du processus sandboxé, il est créé sans aucune restriction et peut donc agir hors du bac à sable. Dans un exemple, une application sandboxée qui n'a pas le droit d'accéder au réseau utilise un simple AppleScript pour ouvrir une connexion, c'est-à-dire faire ce qu'elle n'a théoriquement pas le droit de faire.

Cette faille en rappelle une autre, découverte par Charlie Miller sur iOS en 2008, et se limite à certaines permissions, notamment celles autour de l'accès au réseau. Apple avait à l'époque corrigé le tir (en supprimant simplement la possibilité d'utiliser les Apple Events), mais semble cette fois-ci ne pas s'y intéresser. Elle a simplement mis à jour sa documentation pour préciser certains points de fonctionnement du sandboxing en rapport avec cette possible escalade des murs dressés autour du bac à sable. Un bac à sable qui, en l'état, n'apporte plus grand-chose en matière de sécurité.
Tags
#sécurité #sandboxing
avatar madaniso | 
Avec toutes ces failles, je vais finir par retourner sur windows 7 et ces mises à jour quotidiennes ! :)
avatar HAL-9000 | 
Mouarf, quand Apple se laisse totalement submergée par l'aspect sécurité.
avatar ericaqc | 
Entre dire "j'ai trouvé une faille" et qu'en pratique il y ait quelqu'un qui l'exploite malicieusement, dans le Mac Store, il y a un monde. Maintenant, si tous ces petits malins mettaient leur efforts ailleurs que montrer aux autres comment contourner les systèmes de sécurité, l'utilisateur "lambda" que je suis ne s'en porterai que mieux.
avatar pumk1n | 
Il me semble qu'il n'y a pas de bac à sable sur Windows, il est donc plus simple de régler une faille quand le problème ne se pose pas. Une application a accès à toutes les données qu'elle souhaite quasiment (à part celle où il faut un droit d'admin) alors est-ce mieux au niveau de la sécurité ? Maintenant c'est vrai que si ce n'est pas corrigé, le principe de bac à sable devient caduque et il n'y a plus aucune raison d'obliger les développeurs à l'utiliser tellement ça devient casse tête pour bon nombre d'application...
avatar USB09 | 
Prochain épisode : AppleScript est mort et le Finder vendu a 0,79 sur le Mac AppStore.
avatar apenspel | 
Vivement la sortie de Lion Pro sans l'iMac Gadget Store. Peut-être qu'avec ça Lion dépassera les 16% d'utilisateurs Mac (56% pour Snow Leopard et 22% pour Leopard). Lion ressemble de plus en plus à Vista : un couac.
avatar elamapi | 
Oui bon, en meme temps, le sandboxing, c'est les bretelles aprés la ceinture. N'oubliez pas, quand même qu'on est sur un système unix et qu'une appli ne passe pas root toutes seule. Donc, si une applis passe outre la sandbox, il faut ensuite qu'elle passe outre lion lui même et ça c'est pas encore gagné (même si ça reste possible). De toute façon dans la majorité des cas, la faille est entre la chaise et le clavier. Que ce soit sous unix ou windows. Car même sous unix, si une applications téléchargé sur softvolé.org demande l'accés admin et que vous la donnez, alors cette appli fera ce qu'elle veux. Le sandboxing n'est pas au point. OK, en même temps c'est nouveau et ca n'existait pas. Laissez leur quelques mois quand même. Et puis, faut savoir ce que vous voulez aussi ? Si votre mac devient une machine ou il faut 3 mot de passes , 15 autorisations, et 4 token pour lancer angrybird ... il va se passer quoi ? Ben vous allez tous désactiver. Tiens, c'est marrant, ca me rappelle .... Windows ... Et oui les gars, de plus en plus de monde utiles des macs, et le truc improbable que les apple fanboys refutes depuis toujours commence petit à petit à se produire ... De plus en plus de cretins voient une occaz de faire les malins avec des kack à la con, virus, troyan et j'en passe.
avatar Le Gognol | 
HAL-9000 le jour où tu arrêteras de raconter n'importe quoi (et tu as démontré dans d'autres sujets que tu peux faire très fort dans le genre), la lecture des réactions n'en sera que plus agréable...
avatar Steeve J. | 
Moi j'aime bien lire les commentaires de ces abrutis qui croient toujours tout savoir mais qui si on leur fesaient lire ces commentaires en aveugle se trouveraient vraiment abrutis !!! Par contre je me demande que font certains ici , pourquoi perdent ils leur temps sur un site Apple en écrivant des conneries à longueur de journée. Voilà, c'était mon coup de fun et de gueule du dimanche soir !!!
avatar Bodhi | 
Le sort réservé aux utilisateurs de windows depuis 20 ans concernant la sécurité glisse doucement et très surement vers les utilisateurs de os x. Kaspersky propose un antivirus pour Mac, un bon conseil ne tarder pas trop à protéger vos machines, ça sent la fissure anale pour os x.
avatar ispeed | 
Se sont vraiment des branquignols chez Apple sa promet pour le futur.
avatar frodon27 | 
waouh la brochette d'ab......
avatar bratak67 | 
AUCUN système n'est parfait, sa vulnérabilité est correlée au nombre d'indiividus qui s'y intéresse pour en trouver les failles . Le grand public (quand même argenté) ne connaissant rien en info veut internet ? Hop, on va à la Fnac et on achète le plus beau et on entendant demander "il est puissant ?, combien de mega hertz ?" , "il fera bien dans le salon quand on aura de la visite" ... Le parc grossit (un peu), les revendeurs d'anti virus détectent l'intérêt de vendre leurs produits et les "recherches" sur les failles se multiplient à coup de communications biensur ...
avatar codeX | 
[quote]Se sont vraiment des branquignols chez Apple sa promet pour le futur[/quote] Il paraît évident que si ils gèrent l'aspect sécurité comme certains écrivent le français ................
avatar JLG47 | 
Faut-il rappeler que le "bac à sable" ne concerne que les "petites applications" pour éviter le long et couteux tests de sécurité. Leur nombre et leur facilité de développement commence à poser un réel problème de sécurité pour Apple (mais pas seulement, les applications sous Androïd sont aussi bloquée dans les sandbox) car il est alors facile d'y ajouter du code malicieux, voir malveillant; d'autant plus que certains s'ingénient à dévoiler les inévitables failles. Ceux qui veulent aller au delà doivent en justifier l'usage et l'inoccuité. Pour les applications "normales", les développeurs s'engagent à démontrer la total compatibilité avec le système et le respect des règles. Ceci n'empêche pas des dysfonctionnements comme on en trouve encore et toujours avec Word par exemple qui est même capable de planter OSX. Quant à Windows (du même fabriquant de Word!), en laissant tout le monde développer sans contrôle, il n'est pas surprenant de devoir redémarrer souvent pour cause de plantage. Ce n'est pas par hasard si les navigateurs développent justement des fonctionnements de type bac à sables pour les applications en réseau.
avatar apenspel | 
En attendant, de nombreuses personnes qui ont acheté un nouveau Mac avec Lion font tout ce qu'ils peuvent pour downgrader vers SL et de préférence 10.6.5, afin de gérer eux-même la compatibilité avec leur deuxième écran et/ou se débarrasser du Gadget Store. Mais problème : plus de MàJs de sécurité puisque avec 10.6.6, tout le parc précédent a été rendu obsolète artificiellement pour booster les ventes.
avatar Mister_sam32 | 
Pfff ! Même pas encore été mis en place officiellement et déjà une faille de trouver ! Bon ok, aucun système n'est parfait ! Mais la pour le cas de Mac OS X, je suis septique ! Avec mon entourage, je suis fier de me " vanter " qu'il n'y a ( presque ) pas de virus sur Mac, mais est ce que sa durera encore longtemps ? Bon ok, perso je suis content qu'Apple renforce son système, c'est même une preuve d'attention envers ses utilisateurs, Mais est ce que le système vas nous demander a chaque fois une autorisation, comme c'est le cas pour Windows Vista ? Parceque franchement je risque de repasser sous Snow Leopard !
avatar BeePotato | 
@ elamapi : « Oui bon, en meme temps, le sandboxing, c'est les bretelles aprés la ceinture. N'oubliez pas, quand même qu'on est sur un système unix et qu'une appli ne passe pas root toutes seule. » Notons qu’on n’en a pas grand chose à faire, qu’une application s’exécute en root ou non. Sur un ordinateur personnel utilisé la plupart du temps avec un seul compte, ce qui a le plus d’importance ce sont les données de l’utilisateur, librement accessibles à toute application executée par ce compte. Pas besoin qu’elle ait plus de privilèges pour faire de gros dégâts. C’est justement ce que le sandboxing cherche à limiter.
avatar Zouba | 
[quote]Mais la pour le cas de Mac OS X, je suis septique ![/quote] Ça explique l'odeur ! [quote]je suis fier de me " vanter " qu'il n'y a ( presque ) pas de virus sur Mac[/quote] Il n'existe aucun virus pour Mac OS X, zéro, nada.
avatar Lio70 | 
@apenspel "Peut-être qu'avec ça Lion dépassera les 16% d'utilisateurs Mac (56% pour Snow Leopard et 22% pour Leopard)." 16% en 4 mois c'est pas mal! Au fait, d'ou tires-tu ces stats car cela m'intéresse d'y jeter un coup d'oeil si la source est davantage détaillée..
avatar iDrummer | 
J'aime ceux qui comparent Lion à Vista.. Utilisez d'abord Lion avant de sortir des sottises de ce genre. De plus, aucun système n'est infaillible ! Apple avait peut-être moins de soucis il y a quelques années, car le nombre d'utilisateurs n'était pas aussi important. Mais plus la communauté utilisant leurs systèmes est grande, plus le nombre de failles découvertes s'accentue. Et il est par conséquent évident que plus le nombre d'utilisateurs évolue en hausse, plus les "malfaiteurs" (Hacker et autres..) s'intéresseront au Mac. Munissez-vous d'un anti-virus, il pourra bientôt vous être utile.
avatar Almux | 
Si l'on voulait un "minimum de sécurité". il faudrait pouvoir "simplement" empêcher les bots... Le simple fait fait de ne pouvoir trouver LA machine d'origine qui est responsable des premiers envois de trojans ou de virus, rend toutes ces tentatives sécuritaires assez fragiles.
avatar ispeed | 
@codeX ça promet. Tu es content maintenant Maître Jacques Capelovici
avatar Mabeille | 
@ericaqc c'est bien connu fermer les yeux enlève tout risque, ouvrir les yeux créer les problèmes... la solution? crever les yeux à tout le monde et zou problème réglé.
avatar Mabeille | 
@iDrummer en terme de sécurité vista n'est pas si mauvais et a justement introduit le sandboxing ainsi que le mode userland pour les pilotes. Vista avait déjà un système d'allocation aléatoire pour limiter les risques de dépassement de pile facilité a cause d'un adressage fixe et immuable comme sur mac os x d'alors... donc j'aime bien aussi ceux qui ont un avis bien préjugé sans avoir étudié la question en restant bien à l’abri des mythes et des légendes associées à chaque os... et il y en a dans les 2 camps.

Pages

CONNEXION UTILISATEUR