macosx

Mac OS X : le mot de passe est mal protégé
par Christophe Laporte le 29.02.2008 à 08:02

En matière de sécurité, l’équipe de développement de Mac OS X doit avoir beaucoup de travail ces temps-ci. Après la découverte d’une faille dans l’implémentation d’IPv6, des chercheurs ont trouvé un moyen d’obtenir assez facilement le mot de passe d’un utilisateur à condition d’avoir un accès à la machine.

Lorsque vous vous identifiez sur votre Mac, Mac OS X à l’aide du processus loginwindow.app vérifie votre identifiant et votre mot de passe. Une fois la vérification effectuée, il se charge, si votre ordinateur est configuré par défaut, de déverrouiller votre trousseau et de faire le nécessaire avec FileVault si vous l’avez activé. Une fois que tout cela est fait, le processus est censé supprimer ces deux informations. Or, pour une raison inconnue, ces deux paramètres ne sont pas détruits. Ainsi, en faisant une image du contenu de la mémoire vive de votre Mac lorsque vous êtes identifiés, il est possible de retrouver assez facilement votre code secret. Cette méthode pourrait même marcher en théorie après la fermeture de la session.

CNet a confié un MacBook à Jacob Appelbaum, qui en quelques minutes, a trouvé le mot de passe de la machine comme le montre la photo.

skitched

loginwindow.app étant un processus hérité de NeXTSTEP qui n’a pas forcément beaucoup évolué depuis les années 80, il est fort possible que de nombreuses versions de Mac OS X soient concernées par ce problème. Chez Apple, on reconnaît l’importance de la faille et on assure qu’un correctif sera prochainement disponible au téléchargement.


4
3
2
1
Vos réactions (51 réactions)
La mouette [29/02/2008 08:09]

Chouette je me souvenais plus de mon mot de passe :D
free00 [29/02/2008 08:13]

Tiens un sujet idéal pour lancer un sondage. C'est quoi votre mot de passe d'ouverture de session ?
kubernan [29/02/2008 08:15]

En lisant l'article original je constate que les chercheurs n'hésitent pas à utiliser du Nitrogen liquide pour tester la sécurité des ordis : "To extend the life of stored bits with the power removed, the temperature should be dropped below -60 degrees C. Such cooling should lead to weeks, instead of hours or days, of data retention."
Il s'agit de bits stockées dans les mémoires vives.

Je trouve quand même étonnant qu'Apple ne se soit pas rendu compte de ce problème avant : ça semble si évident et si simple.
poco [29/02/2008 08:16]

Mince alors,

Depuis des années que je prêche la sécurité des OS Apple vs Windows, mes amis commencent à switcher depuis 1 an assez franchement et là, on commence à trouver des failles de sécurité en pagaille dans OS X!!! (et pas petites pour le coup).

Attention, Steve, Innovation et Design ne sont que 30% de ce qui me/nous fait utiliser des Macs. La Stabilité de l'OS des Appli et la Sécurité vis à vis des Virus et autres joyeusetés.
ld7375 [29/02/2008 08:23]

En tout cas c'est bien de reconnaitre le problème.
Un peu de transparence ne fait pas de mal.
Louhac [29/02/2008 08:25]

Si il faut un accès à la machine, il n'y a qu'à fermer sont appartement à clé !!!
Galphanet [29/02/2008 08:27]

Et si on a activé la mémoire virtuelle sécurisée, cela change quelque chose ?
Ou c'est la swap ?
JoKer [29/02/2008 08:28]

Attention ! Gros problème de sécurité de Mac OS X découvert !
Pas besoin d'être un geek, ni d'utiliser le terminal !
Un DVD d'installation de Mac OS X suffit à réinitialiser les mots de passe...
Pourquoi faire des trucs compliqué...
v1nce [29/02/2008 08:28]

tines 30% comme le montant pour les iPhones...

tiens, ca n'a rien a voir avec la news,

tiens , je sors !
Grossman [29/02/2008 08:32]

J'ai peur !

Hypothèse 1 : quelqu'un a mon mot de passe, il peut s'identifier sur mon ordinateur et flasher ma mémoire vive pour trouver mon mot de passe.

Hypothèse 2 : quelqu'un attend que j'allume mon ordi et que je parte aux toilettes pour flasher ma mémoire vive.

Eureka : c'était ça le mec dans le placard...
NoNo_01 [29/02/2008 08:32]

De toutes manières, une fois qu'on a accès à la machine, le simple CD de Leo posé à coté de nos mac permet de reinitialiser les MDP, alors...
GillesB [29/02/2008 08:32]

Oui enfin il faut quand même avoir accès à la machine et qu'elle ait été démarrée aupréalable par le propriétaire.
On a trouvé une autre faille si un intrus regarde par dessus votre épaule il se paut que votre mot de passe reste coincé dans une série de ses neurones que LoginWindow.app n'efface pas quand vous vous retournez...

Désolé, mais quand je vois le b.... que me mets un antivirus comme norton sur XP quand il arrive a expiration, je préfère une fissure comme celle ci sur mon mac...

Il intéressant de voir que quasiment toutes les failles trouvées sur OSX nécessitent un accès physique à la machine et pour une large majorité un accès physique loggé... Je peux aussi avec un tournevis ouvrir la machine et piquer le DD, ou bien mettre un DVD d'install et changer le mot de passe.. et la je vous garantis que j'aurais accès a toute votre machine sauf si votre compte est en Filevault..

GillesB
Feroce [29/02/2008 08:34]

Tout ça ne serait pas arrivé si Amelio avait été subjugué par Gassée plutôt que par Jobs... et sa vieille merde de NeXTStep, lourd, lent, et incroyablement bordélique... Je mets ma main à couper que certaines parties de l'OS n'ont pas été retouchées depuis des plombes parque les gars qui les ont écrites il y a 20 ans doivent être morts ou bien loin d'Apple...
Grossman [29/02/2008 08:40]

Truc donné par Apple (en anglais, je ne sais pas si j'ai bien traduit) :
Il suffit de déclipser les touches du clavier une à une et de les remettre en place aléatoirement.
JoKer [29/02/2008 08:54]

@ Feroce : Entre Windows NT et Be OS, je préfère quand même NeXT...
4
3
2
1

Réagir

Cinq consignes avant de réagir :
  1. Rester dans le cadre de la dépêche. Pour des discussions plus générales, vous pouvez utiliser nos forums.
  2. Développer son argumentation. Les messages dont le seul but est de mettre de l'huile sur le feu seront modifiés ou effacés sans préavis par la rédaction.
  3. Respecter les acteurs de l'informatique et les autres lecteurs. Les messages agressifs, vulgaires, haineux, etc. seront modifiés ou effacés sans préavis par la rédaction.
  4. Pour toute remarque concernant le contenu de l'article, pour nous signaler une erreur, une omission, merci de nous contacter exclusivement par e-mail.
  5. Relisez-vous, et pour les utilisateurs de Safari profitez de l'aide du navigateur : activez le menu édition > Orthographe > Vérifier l'orthographe lors de la frappe.