Top Promos Apple Test Apple Antivirus Mac Dock Thunderbolt Chargeur iPhone Nettoyeur Mac Comparatif iPhone Sunology

Actualité

Mac

Avec votre mot de passe admin, une app a accès à vos mots de passe en clair

Par Didier Pulicani - Publié le

Le trousseau de Mac OS X est un outil formidable, permettant de centraliser vos mots de passe et surtout, de pouvoir les utiliser dans n'importe quel programme, tout en garantissant un certain niveau de sécurité.

Mais lorsque vous fournissez votre mot de passe administrateur à un programme, saviez-vous que ce dernier a potentiellement accès, en clair, à tous vos identifiant ?

Avec votre mot de passe admin, une app a accès à vos mots de passe en clair


Juuso Salonen a développé un mini-programme (non compilé) qui permet de démontrer que tout ceci est largement possible.

Keychaindump est une "preuve de concept" pour lire le trousseau de Mac OS X en tant que root. Son rôle est de trouver la clef principale du trousseau, stockée en mémoire du process securityd et de l'utiliser pour décrypter tous vos mots de passe

Voici un exemple de ce qu'est capable de fournir le programme :

$ sudo ./keychaindump
[[] Searching process 15 heap range 0x7fa809400000-0x7fa809500000
[]] Searching process 15 heap range 0x7fa809500000-0x7fa809600000
[[] Searching process 15 heap range 0x7fa809600000-0x7fa809700000
[]] Searching process 15 heap range 0x7fa80a900000-0x7fa80ac00000
[[] Found 17 master key candidates
[]] Trying to decrypt wrapping key in /Users/juusosalonen/Library/Keychains/login.keychain
[[] Trying master key candidate: b49ad51a672bd4be55a4eb4efdb90b242a5f262ba80a95df
[]] Trying master key candidate: 22b8aa80fa0700605f53994940fcfe9acc44eb1f4587f1ac
[[] Trying master key candidate: 1d7aa80fa0700f002005043210074b877579996d09b70000
[]] Trying master key candidate: 88edbaf22819a8eeb8e9b75120c0775de8a4d7da842d4a4a
[+] Found master key: 88edbaf22819a8eeb8e9b75120c0775de8a4d7da842d4a4a
[+] Found wrapping key: e9acc39947f1996df940fceb1f458ac74b877579f54409b7
xxxxxxx:192.168.1.1:xxxxxxx
xxxxxxx@gmail.com:login.facebook.com:xxxxxxx
xxxxxxx@gmail.com:smtp.google.com:xxxxxxx
xxxxxxx@gmail.com:imap.google.com:xxxxxxx
xxxxxxx:twitter.com:xxxxxxx
xxxxxxx@gmail.com:www.google.com:xxxxxxx
xxxxxxx:imap.gmail.com:xxxxxxx
...


Nous l'avons également testé de notre côté, avec succès et sur la dernière mise à jour de Mac OS X. Avec 500 petites lignes de code, il est donc possible pour n'importe quel développeur ayant les droits administrateurs, de récupérer tous vos mots de passe et identifiant, sans cryptage.

Voilà une nouvelle occasion de vous rappeler de rester prudent quand un programme vous demande votre mot de passe administrateur, sans raison apparente. S'il s'agit d'installer un pilote d'imprimante, rien de plus normal. Mais pour un petit jeu que vous avez téléchargé sur le net, il n'y a aucune raison que le développeur ait besoin de tels privilèges.

Tous les fichiers sources sont disponibles sur GitHub
Mac4Ever recrute sur Paris et Nîmes

Mac4Ever recrute sur Paris et Nîmes

Mac4ever renforce ses équipes et recherche plusieurs personnes pour participer à la rédaction de son fil d'actualité, à la création de contenu vidéo, ainsi qu'à l'amélioration du référencement des contenus. Si tu es intéressé, n'hésite pas à postuler !

Final Cut Pro 2 pour iPad et 10.8 pour Mac sont disponibles ! Quelles sont les nouveautés ?

Final Cut Pro 2 pour iPad et 10.8 pour Mac sont disponibles ! Quelles sont les nouveautés ?

Comme promis lors de la keynote de mai dédiée aux iPad Pro M4 et iPad Air M2, Apple déploie Final Cut Pro 2 pour iPad et Final Cut Pro...

Que vaut le Snapdragon X Elite face aux M3 et M4 d'Apple ?

Que vaut le Snapdragon X Elite face aux M3 et M4 d'Apple ?

Les premiers PC Copilot + sont disponibles et quelques journalistes et influenceurs ont pu les recevoir suffisamment en avance pour publier des scores de...

Une mystérieuse mise à jour pour les Magic Mouse et Magic Trackpad

Une mystérieuse mise à jour pour les Magic Mouse et Magic Trackpad

Après une première vague de bêta, Apple déploie aujourd'hui une mise à jour du logiciel interne pour ses Magic Mouse et Magic...

Apple veut aider les utilisateurs à trouver le Mac idéal

Apple veut aider les utilisateurs à trouver le Mac idéal

Soucieuse de répondre au plus grand nombre (et histoire de ne pas perdre un seul client potentiel), Apple vient de lancer une nouvelle section sur son...

Des MacBook Pro M4 pour Noël ?

Des MacBook Pro M4 pour Noël ?

L'iPad Pro M4 étant désormais posé sur le bureau, beaucoup s'interrogent sur le lancement du reste de la gamme dotée de cette puce...

Adobe attaquée en justice pour ses conditions de désabonnement

Adobe attaquée en justice pour ses conditions de désabonnement

Un beau scandale semble secouer Adobe outre-atlantique. En effet, la Federal Trade Commission (FTC) vient de prendre des mesures contre l'éditeur pour...

Changer de sonneries sur son Apple Watch avec watchOS 11

Changer de sonneries sur son Apple Watch avec watchOS 11

Cette année, watchOS 11 arrive avec de nombreuses améliorations : santé (suivi du sommeil / sieste, récupérations, live...

Le dock Thunderbolt OWC avec du 10 GbE à son meilleur prix ! Parfait pour la Freebox Ultra !

Le dock Thunderbolt OWC avec du 10 GbE à son meilleur prix ! Parfait pour la Freebox Ultra !

Si le critère principal au moment de choisir votre dock Thnuderbolt est la présence d'un port 10 GbE (par exemple pour profiter pleinement des...

Commentaires

Connectez-vous/créez un compte pour réagir à cet article !
Oops, vous n'êtes pas connecté

Pour évaluer un commentaire sur Mac4Ever, vous devez être connecté avec votre compte utilisateur.

31 commentaires
Connectez-vous/créez un compte pour réagir à cet article !
Oops, vous n'êtes pas connecté

Pour évaluer un commentaire sur Mac4Ever, vous devez être connecté avec votre compte utilisateur.