Миф о невероятной безопасности macOS

Миф о невероятной безопасности macOS

netpost

Я не знаю, откуда произошел этот миф, вероятно, из утверждения, что для macOS не нужны антивирусы, или из относительно небольшого количества новостей об уязвимостях в macOS. Что бы ни лежало в основе, это ложное утверждение, и в этом материале я приведу несколько фактов, которые должны разубедить сторонников мифа о неуязвимости macOS.  
Давайте начнем с конференции Pwn2Own 2018. Pwn2Own – ежегодное соревнование белых хакеров, проводимое с 2007 года. В рамках соревнования хакеры со всего мира пытаются взломать операционные системы, браузеры, выйти за пределы виртуальной среды и многое другое.

Как вы можете догадаться, задача взломать macOS являлась частью соревнования, и хакеры успешно справились с ней. В рамках конкурса две команды смогли провести успешную атаку на браузер Safari и операционную систему macOS.

Во второй день соревнований сотрудники Ret2 Systems продемонстрировали цепочку эксплойтов для Safari, проведя успешную атаку с 4-й попытки. Гораздо эффективнее оказалась команда исследователей из MWR Labs: сначала она осуществила «побег» из песочницы Safari, а затем, использовав уязвимость неинициализированной переменной стека в macOS, выполнила произвольный код.

Например, китайские хакеры всегда были на лидирующих позициях, на Pwn2Own 2017 китайская команда Qihoo360 успешно разобралась и с Safari, и с macOS, повысив привилегии до root. Однако весной 2018 года правительство КНР запретило своим IT-специалистам выступать на международных конференциях из соображений национальной безопасности.

 С оригиналом информации о Pwn2Own 2018 вы можете ознакомиться тут.

Возьмем статистику по macOS за 2018 год. На момент написания статьи было обнаружено 107 уязвимостей, но не все уязвимости равно опасны. DoS – уязвимость, приводящая к отказу сервиса, это неприятно, но не более того, а вот Code Execution и Gain Privileges, исполнение кода и повышение привилегий,‒это очень опасные уязвимости, позволяющие злоумышленнику получить полный доступ к вашему Маку. 

Возьмем приложение iTunes, которое многие владельцы iPhone не используют, но при этом и не удаляют. Вот статистика уязвимостей по нему:

Как видите, опасные уязвимости появляются ежегодно и будут появляться в будущем. Учтите, что в этот список попадают только известные уязвимости, как правило, они уже исправлены разработчиком и могут быть опасны, только если вы не обновляете свою систему, браузер или установленные приложения.

Уязвимости в арсенале спецслужб хранятся в тайне, они не исправляются в обновлениях и называются 0day уязвимостями.

Для настройки комплексной безопасности очень важно расстаться с мифами и иллюзиями. Неуязвимость macOS – это миф, надеюсь, мне удалось его разрушить. Это не повод для паники, не повод замкнуться на убеждении из серии «захотят – взломают», просто вы должны понять: взломать macOS реально, и если вы представляете интерес для спецслужб, например вы политик, журналист или чиновник, вам стоит серьезно пересмотреть свою безопасность. 

Каждый новый уровень изоляции – большая проблема для хакеров: если из стандартной песочницы Safari они выбираются, так как заранее готовы к ней, то встретить дополнительный уровень изоляции будет неприятным и неожиданным сюрпризом. 

Источник

Report Page