Falla in OS X permette il furto di password e dati personali

Un gruppo di sei ricercatori della Indiana University, del Georgia Tech e della Peking University hanno appena pubblicato un dettagliato report nel quale scoprono diverse falle nei sistemi operativi di Apple che permettono anche ad app “sandbox”, come quelle che è possibile scaricare da App Store, di ottenere il controllo e l’accesso non autorizzato a dati sensibili (come password e dati personali) salvati in altre applicazioni.

Il documento di 13 pagine si intitola: “Unauthorized Cross-App Resource Access on Mac OS X and iOS” e spiega come le falle di OS X e iOS potrebbero essere utilizzate da un malintenzionato con le giuste conoscenze.

La tecnologia utilizzata da Apple per la funzione Portachiavi di iCloud e WebSocket su OS X e lo URL Scheme su OS e iOX mettono infatti in comunicazione applicazioni diverse che non dovrebbero poter aver libero accesso ai dati reciproci. Questo collegamento, sfruttando le falle, potrebbe essere utilizzato per prendere il controllo di informazioni contenute in una applicazione, anche delle celebri app per la sicurezza come 1Password e AgileBits:

Abbiamo completamente fatto a pezzi il servizio Portachiavi – usato per salvare le password e altre credenziali nelle diverse app di Apple – e i contenitori sandbox di OS X, e abbiamo anche identificato nuove debolezze nel sistema di comunicazione tra le applicazioni su OS X e iOS che possono essere usati per rubare informazioni sensibili da Evernote, Facebook e altre app note.

Le app scaricate da App Store non dovrebbero poter accedere a informazioni contenute nelle altre applicazioni a meno di passare per OS X o iOS, i quali mostrano all’utente una finestra nella quale viene chiesto se è sicuro di voler cedere certe informazioni all’app in questione. Con le falle scoperte dal team di ricercatori, il vincolo imposto dal sistema operativo può essere aggirato.

I ricercatori hanno informato Apple di queste falle nell’ottobre del 2014. Come su richiesta di Apple non hanno divulgato le informazioni per il periodo di 6 mesi imposto da Cupertino, ma non avendo ricevuto aggiornamenti dall’azienda hanno scelto di renderle pubbliche. Forse questo servirà a velocizzare la produzione delle pezze da parte di Apple.

[via]]