Fin dal momento in cui Apple ha annunciato di aver migliorato la protezione della privacy per il macOS Mojave 10.14, un gruppo di ricercatori si è messo d’impegno a fargli le pulci per scoprire eventuali falle nella sicurezza.
Purtroppo per Apple, l’impresa non si è rivelata affatto ardua, visto che il primo problema si è presentato il giorno stesso del lancio, quando un ricercatore ha segnalato un modo incredibile per aggirare la protezione della privacy utilizzando una semplice app (vale a dire senza autorizzazione dell’amministratore) per accedere alla rubrica.
Eseguendo l’accesso da Preferenze di Sistema > Sicurezza e Privacy > Privacy, poco dopo sono stati segnalati altri trucchi, tutti apparentemente risolti dagli aggiornamenti di Mojave.
Settimana scorsa, proprio quando Apple sembrava essere arrivata a capo del problema, Jeff Johnson, sviluppatore dell’estensione per browser StopTheMadness ha annunciato un nuovo rischio che riguarderebbe tutte le versioni di Mojave, incluso l’aggiornamento supplementare 10.14.3 rilasciato solo qualche giorno prima.
Johnson ha dichiarato di aver trovato un modo per accedere a ~/Libreria/Safari senza chiederne l’autorizzazione al sistema o all’utente, una directory che dovrebbe essere accessibile solo attraverso app privilegiate come il Finder di macOS.
Non ci sono finestre di dialogo di autorizzazione, semplicemente funziona! In questo modo, un malware potrebbe violare di nascosto la privacy di un utente controllandone la cronologia di navigazione sul Web.
L’unico ostacolo è che l’escamotage non funziona con le app all’interno di una sandbox e se viene utilizzato con applicazioni eseguite esternamente ma che sono “autenticate”, vale a dire contrassegnate da un ID sviluppatore dopo il superamento dei controlli malware automatici di Apple.
Nel corso di un’intervista successiva con Bleeping Computer, Johnson ha raccontato di essere incappato nel problema mentre stava lavorando alla sua estensione di Safari attraverso un’API specifica.
Quindi il trucco non è niente di complesso, bastano le conoscenze di uno sviluppatore Mac.
Non solo iOS
La difficoltà di Apple nel risolvere i problemi di questa funzionalità sta nel doversi destreggiare tra due esigenze che in iOS al confronto sembrano semplici: la necessità di consentire alle app di accedere a cartelle sensibili (tra cui Mail, Messaggi, Cookie e Suggerimenti) passando attraverso un livello di autorizzazione senza che questo diventi un elemento ingombrante.
Inoltre deve evitare di creare problemi alle app più datate, sviluppate quando il diritto del software ad accedere a tutte le informazioni necessarie era dato per scontato.
Apple è vicina alla soluzione di questo rompicapo? Il fatto è che la situazione si fa sempre più complessa ogni volta che la si osserva.
Ad esempio, sembra ormai noto che la protezione della privacy non è in grado di impedire ad alcuno di bypassarla utilizzando Secure Shell sul localhost (con il login remoto abilitato).
Oppure mediante un attacco “denial of patience” in cui una app maligna richiama continuamente tccutil per resettare le impostazioni della privacy fino a quando l’utente si arrende, sommerso da una pletora di finestre di dialogo di consenso.
Johnson ha dichiarato di aver segnalato la sua scoperta a Apple, che quindi dovrebbe risolvere il problema in un aggiornamento futuro di Mojave.
Per ora è troppo impegnata a risolvere altri problemi di sicurezza come la falla KeySteal, che potrebbe consentire a un hacker di accedere alle password nella gestione delle password KeyChain.