Bezpečnostní záplata: že by konečně pořádná oprava?
8. 06. 2004, 1:09 · Nakousnutá jabka
Apple v pondělí (mimo jiné) uvolnil bezpečnostní záplatu pro Mac OS X 10.3.4 a 10.2.8, která by podle všeho měla definitivně řešit bezpečnostní problém, který jsem popisoval nedávno – tedy možnosti útoku přes webovou stránku, nahráním podvrženého obrazu disku a jejího následného spuštění.
Update je k dispozici přes Software update a nebo také jako download na webu Apple – pokud jste šťastnými uživateli lokalizovaného systému, nezbyde, než upgradovat ručně. Mimochodem, mimo soutěž – zkoušel někdo (pokud možno úspěšně) toto omezení lokalizovaného Masoxu odstranit?
Každopádně, záplatu nelze než doporučit všem uživatelům, kteří se připojují na internet – to, že zatím chyba nebyla využita v praxi “naostro”, neznamená, že se o to nemusí někdo pokusit.
Bezpečnostní záplata by měla odstranit slabá místa (doufejme, že všechna, šťourové to určitě prověří :), která Apple zanechal v Mac OS X. První úprava se týká spouštění neznámých aplikací (což byl způsob napadení, který zůstával možný po aplikování předchozí bezpečnostní záplaty) – nově je systém upraven tak, že pokud má být prostřednictvím odkazu na internetu (URI) nebo přes dokument na disku otevřená aplikace, kterou doposud uživatel nespustil, objeví se systémový dialog, který upozorní na spouštění takovéto neznámé aplikace. Víckrát se varování již neobjeví, stejně tak se nezobrazí, pokud uživatel poklepe přímo na ikonu aplikace.
URI disk:// nelze nyní využít, prostě již nebude fungovat. Myslím, že to v praxi nebude vadit, není mi známo, že by tuto funkci někdo používal. Doufejme, že bylo odstraněno také URI disks://...
Další úprava se týká Safari a jeho funkce “Show in Finder” – zde mohlo dojít nejen k ukázaní souboru, ale také spuštění aplikace/připojení obrazu disku. Zdá se, že funkce “dovolit otevření bezpečných souborů” zůstává zachována a je na každém uživateli, zda dovolí ji používat (otevře obrázky nahrané z Internetu, ale také obrazy disku…).
Mimochodem, na konferenci, kde Jobs v pondělí vystupoval, prohlásil, že informace o nebezpeční se k nim dostaly postupně – první informace získali v únoru a další až v květnu (předpokládám že první byla možnost využití spouštění AppleScriptu přes HelpViewer, další možnost spuštění libovolné aplikace přes libovolný nově zaregistrovaný helper), a tři týdny Apple řešil, jak problém uspokojivě vyřešit. Budiž, buďme rádi, že chyba podle všeho nebyla zneužita k opravdovým útokům, možná by však Apple mohl reagovat trochu pružněji, případně otevřeněji a proaktivně informovat – zpětný dojem je takový, že Apple jednal až pod tlakem veřejnosti.
— agent 10.6.2004 01:17 #
— agent 11.6.2004 14:12 #