Stort Apple-sikkerhetshull setter passordene dine i fare

En gruppe på seks universitetsforskere har avdekket en alvorlig svakhet i Apples operativsystemer. Denne kan potensielt gi uvedkommende full tilgang til passord og annen sensitiv informasjon på enhetene dine.

– Nylig oppdaget vi et sett overraskende sikkerhetssvikter i Apples Mac OS og iOS, som tillater at en ondsinnet app kan få ikke-autorisert tilgang på andre appers sensitive data – som for eksempel passordene og påloggingsinfo til iCloud, Mail-appen og alle nettpassordene som er lagret i Google Chrome, sier forsker Luyi Xing ved Indiana University til The Register.

Forskerne har i sin rapport beskrevet hvordan de klarte å laste opp såkalt «malware» – altså programvare med skumle og ofte skjulte hensikter – til Apples App Store både på iOS og OS X.

Programmet kom seg forbi selskapetes strenge godkjennelsesprosesser uten at noen varselslamper ble tent. Det fikk videre tilgang til passordsystemet Keychain på brukernes enheter – der det gjerne er lagret en stor mengde innloggingsdata som man ikke vil at andre skal få tak i.

Ifølge Xing varslet forskerne Apple om funnet allerede i oktober i fjor, og har siden overholdt selskapets ønske om å holde informasjonen hemmelig i seks måneder. 

Denne perioden er nå utløpt, uten at problemene synes å være helt fikset – det er dermed en reell frykt for at noen nå kan forsøke å utnytte sikkerhetshullet.

Ifølge sikkerhetsekspert Einar Otto Stangvik har neppe Apple hvilt på sine laurbær i disse seks månedene.

- Nå har jo ikke Apple uttalt seg konkret i denne saken. Men på generelt grunnlag kan man nok si at Apples motivasjon for å tilbakeholde denne informasjonen er at de har ønsket å fikse problemet – ikke for å forsøke å feie saken under teppet, sier Stangvik til Online.no.

Han mener at det er mest logisk at Apple først og fremst har forsøkt å tette hullet inn til sin App Store, slik at det i fremtiden ikke vil være mulig å snike inn tilsvarende skadelig programvare dit – i hvert fall ikke på samme måte:

– Dette er det aller mest kritiske å ta tak i først. Så lenge man laster ned noe fra App Store, skal man være helt vernet mot skadelig programvare. Noe helt annet gjelder kjørbare koder man laster ned fra andre steder. Da er det så mye som kan gå galt at man nesten ikke kan beskytte seg mot det, sier Stangvik, og fortsetter:

– Den andre delen av denne svakheten er knyttet til Apples Keychain-tjeneste, som er en grunnleggende del av operativsystemene. For å fikse dette må Apple patche hele OS X og iOS, noe som både tar lenger tid og samtidig må ut til et kritisk antall enheter, sier Stangvik.

Nylig ble det forøvrig avdekket et annet sikkerhetsbrudd knyttet til LastPass – en av de mest brukte og populære programmene for generering og lagring av passord.

De som kom seg inn på serverne til LastPass var ifølge selskapet aldri i nærheten av å skaffe seg tilgang til alle brukernes passord som var lagret på tjenesten servere, ettersom disse var tungt kryptert.

Selv med to slike angrep rettet mot systemer for lagring av passord, er det Ifølge Stangvik liten grunn til å slutte å bruke slike programmer.

– Jeg skal være veldig forsiktig med å si til noen at de ikke skal bruke et slikt passordprogram. Kanskje bør du vurdere å holde de aller viktigste passordene dine, som til nettbanken, for deg selv, sier Stangvik – før han legger til:

– Det er uansett langt tryggere å la et slikt program lage og lagre forskjellige passord, enn at du har ett passord du bruker over hele internett.