Frei von Sicherheitslücken ist keinerlei Betriebssystem, diese Realität ist mit dem Computeralltag untrennbar verbunden. Insofern gehört es zu den zentralen Aufgaben eines jeden Softwareherstellers die diesbezüglichen Fehler regelmäßig und – rasch – nach ihrem Auftauchen zu Bereinigen. Oft gelingt dies, in einem aktuellen Fall trifft es nun aber Apple zu einem reichlich unangenehmen Zeitpunkt.

Passwortdiebstahl

Parallel zur Freigabe von macOS "High Sierra" hat Sicherheitsforscher Patrick Wardle eine kritische Lücke in dem Betriebssystem offengelegt. Der einst für den US-Geheimdienst NSA tätige Hacker demonstriert in einem Video, wie sich sämtliche in der lokalen Keychain gespeicherten Passwörter auslesen lassen – ohne dass je eine Eingabe des Master-Passworts erforderlich ist.

In einer Stellungnahme verweist Apple darauf, dass macOS generell vor der Installation von unsignierten Apps warnt, womit solch ein Angriffsprogramm gar nicht ohne explizite Bestätigung der User gestartet werden könnte. Der Sicherheitsforscher hält dem entgegen, dass frühere Vorfälle immer wieder gezeigt haben, wie einfach es ist, in das Apple Developer Program aufgenommen zu werden, und dann ganz offiziell signierte Apps zu erstellen. Dies sei immer wieder von Schadsoftware ausgenutzt worden, und würde in dem konkreten Fall dazu führen, dass der Angriff komplett ohne Interaktion der User ablaufen könne.

Nicht exklusiv

Erwähnt sei, dass von dem Problem nicht nur macOS "High Sierra" betroffen ist, sondern auch ältere Versionen des Betriebssystems. Insofern ändert das Update auf die neue Softwaregeneration nichts an der Gefährdungslage. Einen Zeitplan für die Bereinigung dieser Sicherheitslücke will Apple derzeit noch nicht nennen.

Scharfe Worte

Wardle nutzt diesen Vorfall aber auch dazu, schwere Kritik an Apple zu üben. "Als ein leidenschaftlicher Mac-User bin ich ständig enttäuscht von der Sicherheit von macOS", betont der Sicherheitsforscher. Der Apple Marketingabteilung sei es gelungen, macOS als besonders sicher darzustellen, die Realität sei aber weit davon entfernt.

Wie wenig ernst Apple dieses Thema nehme, zeige sich auch daran, dass es für macOS nicht einmal ein Bug Bounty-Programm gibt, wie es unter anderen Betriebssystemen – und auch für iPhones und iPads – mittlerweile gebräuchlich sei. Über ein solches bekommen Sicherheitsforscher üblicherweise Geld dafür, dass sie kritische Lücken im Geheimen melden, anstatt sie einfach zu veröffentlichen oder an zweifelhafte Kreise gewinnbringend zu verkaufen. Wardle schlägt vor, dass dabei die Prämien für wohltätige Zwecke gespendet werden könnten, wichtig wäre nur, dass es überhaupt so ein System gebe.

Hintergrund

Es ist übrigens nicht die erste Lücke in High Sierra, die Wardle öffentlich macht. Erst vor kurzem hatte er demonstriert, wie einfach sich eine der zentralen Sicherheitverbesserungen der neuen macOS-Version, das Secure Kernel Extension Loading, austricksen lasse. (apo, 26.9.2017)