Cambios ocultos y llavero vulnerable: más motivos para que en Apple mejoren el reporte de errores de macOS

Google, a través de su equipo Project Zero centrado en buscar vulnerabilidades en todo tipo de software y sistemas, ha descubierto un agujero de seguridad en macOS que ha calificado de "muy severo". La vulnerabilidad se encuentra en el modo con el que el sistema operativo informa a sus subcomponentes sobre cambios en los sistemas de archivos.

Eso te puede sonar algo técnico, pero tiene una traducción simple: un atacante puede aplicar cambios en esos sistema de archivos aprovechando el error. Esos cambios hacen efecto, pero el núcleo de macOS no avisa a los componentes. Tienes todos los detalles e incluso un ejemplo con código fuente en esta web.

En Applesfera

Qué puede hacer un ladrón con un Mac recién robado y qué medidas tomar para proteger tus datos

El llavero de sistema, comprometido

El de los cambios en sistemas de archivos no es el único fallo de seguridad que debe rondar por los despachos del Apple Park estos días: el desarrollador de 18 años Linus Henze ha hecho públicos los datos acerca de un error en el llavero de macOS, que permite que cualquier atacante con los conocimientos suficientes lo pueda copiar.

I’ve decided to submit my keychain exploit to @Apple, even though they did not react, as it is very critical and because the security of macOS users is important to me. I’ve sent them the full details including a patch. For free of course.
— Linus Henze (@LinusHenze) 28 de febrero de 2019

Linus encontró este error hace un tiempo, pero se negó a facilitar los datos a Apple en un gesto que buscaba quejarse de que en macOS no hay ningún programa de recompensas para quien reporte errores importantes. Pero finalmente el desarrollador ha terminado cediendo toda la información, ya que considera que el error es demasiado crítico como para esconderlo.

Apple ha contactado con Linus acerca de este último error, pero no para cumplir con sus demandas sino para poder obtener esos datos. Nuestro compañero Julio César Fernández ya nos explicó cómo Apple necesita una mejora en el reporte de fallos en sus sistemas, y estos errores no hacen más que acentuar este hecho.

En Applesfera

Sí, este cable tiene Wi-Fi: otro gran ejemplo de por qué no hay que fiarse de los accesorios no certificados

¿Podemos hacer algo para proteger nuestros Mac ante dichos errores? Pues de momento no, porque se trata de errores a muy bajo nivel. Por ahora lo mejor es que protejas tu llavero de iCloud con el código de seguridad que ofrece el servicio. Y como decimos siempre, mantén tu macOS actualizado siempre a la última versión. Siempre.