मैक ओएस एक्स में पासवर्ड का अलगाव - मैलवेयर का विकास?

फिनिश शोधकर्ता जुसू सलोनन ने एक विशेष उपयोगिता ( http://juusosalonen.com/post/30923743427/breaking-into-the-os-x-keychain ) प्रकाशित की है, जिसका उद्देश्य किचेन पासवर्ड सूचना प्रबंधन उपतंत्र से पासवर्ड निकालना है। कीचइंडंप ने पहले ही शोधकर्ताओं का ध्यान आकर्षित किया है जो आश्वस्त हैं कि मैक एक्स एक्स के लिए दुर्भावनापूर्ण कोड के विकास में इस दृष्टिकोण का सफलतापूर्वक उपयोग किया जा सकता है।
पहली बार, इसे मैक ओएस 8.6 में पेश किया गया था। किचेन विभिन्न प्रकार की पासवर्ड जानकारी (वेब-साइट्स, एफ़टीपी, एसएसएच-खातों, नेटवर्क "बॉल्स", वायरलेस नेटवर्क, डिजिटल सर्टिफिकेट तक पहुंच) को संग्रहीत करता है।

किचेन फाइलें ~ / लाइब्रेरी / किचेन /, / लाइब्रेरी / किचेन /, और / नेटवर्क / लाइब्रेरी / किचेन / क्रमशः में संग्रहीत की जाती हैं। "लॉगिन", डिफ़ॉल्ट किचेन फ़ाइल, स्वचालित रूप से अपने उपयोगकर्ता पासवर्ड के साथ सिस्टम में एक सफल उपयोगकर्ता लॉगिन के तुरंत बाद लॉक जारी करता है। हालाँकि, इसके लिए वास्तविक पासवर्ड उपयोगकर्ता द्वारा उपयोग किए गए से भिन्न नहीं हो सकता है। उसी समय, इसे शून्य पासवर्ड सेट करने की अनुमति नहीं है, लंबे समय तक डाउनटाइम के दौरान स्वचालित ब्लॉकिंग को समय पर किया जाता है।




जैसे ही उपयोगकर्ता चाबी का गुच्छा अनलॉक करता है, पासवर्ड 24-बाइट "मास्टर कुंजी" में बदल जाता है और इसे "सुरक्षा" प्रक्रिया के मेमोरी सेगमेंट में संग्रहीत किया जाता है। एक अलग अध्ययन के माध्यम से, मेमोरी क्षेत्र में एक विशिष्ट संग्रहीत संरचना की पहचान की गई थी जो "मास्टर कुंजी" की ओर इशारा करती है। इसमें 8 बाइट्स का एक क्षेत्र होता है जिसका आकार "0x18" (HEX में 24) होता है।

$ sudo ./keychaindump
[*] Searching process 15 heap range 0x7fa809400000-0x7fa809500000
[*] Searching process 15 heap range 0x7fa809500000-0x7fa809600000
[*] Searching process 15 heap range 0x7fa809600000-0x7fa809700000
[*] Searching process 15 heap range 0x7fa80a900000-0x7fa80ac00000
[*] Found 17 master key candidates
[*] Trying to decrypt wrapping key in /Users/juusosalonen/Library/Keychains/login.keychain
[*] Trying master key candidate: b49ad51a672bd4be55a4eb4efdb90b242a5f262ba80a95df
[*] Trying master key candidate: 22b8aa80fa0700605f53994940fcfe9acc44eb1f4587f1ac
[*] Trying master key candidate: 1d7aa80fa0700f002005043210074b877579996d09b70000
[*] Trying master key candidate: a0a20000000200f7474d400000700d01a980fa00007f085e
[*] Trying master key candidate: 180000000000000000000000000000000000000007000001
[*] Trying master key candidate: 0000b107000001000000803e970aa8710ae567eff7ff0000
[*] Trying master key candidate: 796a63507e6c2a84d9f095fae2896058dfe029cd0f7105da
[*] Trying master key candidate: 16ac866d636215c01e337e942f48cfed12d7c45bfab8dbf7
[*] Trying master key candidate: 070020539baab0d1d6a3aa80fa006877ed57f80fa0000000
[*] Trying master key candidate: 88edbaf22819a8eeb8e9b75120c0775de8a4d7da842d4a4a
[+] Found master key: 88edbaf22819a8eeb8e9b75120c0775de8a4d7da842d4a4a
[+] Found wrapping key: e9acc39947f1996df940fceb1f458ac74b877579f54409b7
xxxxxxx:192.168.1.1:xxxxxxx
xxxxxxx:news.ycombinator.com:xxxxxxx
xxxxxxx@gmail.com:login.facebook.com:xxxxxxx
xxxxxxx@gmail.com:smtp.google.com:xxxxxxx
xxxxxxx@gmail.com:imap.google.com:xxxxxxx
xxxxxxx@gmail.com:api.heroku.com:xxxxxxx
xxxxxxx:www.freechess.org:xxxxxxx
xxxxxxx:twitter.com:xxxxxxx
xxxxxxx@gmail.com:www.google.com:xxxxxxx
xxxxxxx:imap.gmail.com:xxxxxxx

"मास्टर कुंजी" प्राप्त करके, प्रकटीकरण की संभावना है, तथाकथित "रैपिंग कुंजी"। इसे डिक्रिप्ट करके, स्पष्ट पाठ में संग्रहीत पासवर्ड प्राप्त करना संभव हो जाता है। शोधकर्ता का मानना ​​है कि यह भेद्यता ओएस आर्किटेक्चर की खामियों का उपयोग है। मुख्य समस्या यह है कि रूट अन्य उपयोगकर्ताओं के कीचेन को पढ़ सकता है, और "मास्टर कुंजी" और "रैपिंग कुंजी" की खोज स्वयं काफी आदिम है।

अधिक जानकारी: http://juusosalonen.com/post/30923743427/breaking-into-the-os-x-keychain