Beim ersten Netz-Kontakt ließen sich fabrikneue Apple-Rechner komplett kapern. Auf der Black-Hat-Konferenz in Las Vegas haben Sicherheitsforscher gezeigt, wie in macOS High Sierra eine Schwachstelle entsprechend missbraucht werden kann. Apple hat die Lücke mittlerweile aber geschlossen.

Wired berichtet, dass der Fehler im Mobile Device Management (MDM), mit der macOS standardmäßig ausgerüstet ist, steckte. Diese ist für Firmennetzen oder Schulen gedacht und erlaubt eine Fernwartung der Maschine durch Administratoren. Apples Device Enrollment Program (DEP), mit dem Macs beim ersten Start mit Unternehmenseinstellungen versorgt werden, war ebenfalls betroffen. Dieser kontaktiert beim ersten Start eines frischen Rechners Apples Server und teilt seine Seriennummer mit. Ist diese für MDM oder DEP registriert, läuft eine spezielle Setup-Routine, die sowohl Apples Server als auch die des MDM- beziehungsweise DEP-Anbieters kontaktiert, ab.

Diese Routinen sind eigentlich mittels Certificate Pinning gegen Man-in-the-Middle-Angriffe geschützt und verschlüsselt. Allerdings stellten die beiden Sicherheitsforscher Max Belanger von Dropbox und Jesse Endahl von Fleetsmith fest, dass einer dieser Schritte nicht ausreichend abgesichert war. Der Mac wird, sobald der MDM- beziehungsweise DEP-Vorgang abgeschlossen ist, normalerweise in den Mac App Store gelenkt, in welchem er sich dann mit Firmensoftware versorgt. Allerdings fehlte beim Herunterladen des entsprechenden Manifests das Certificate Pinning. Also könnte ein Angreifer im gleichen Netz dem Rechner ein verfälschtes Manifest unterjubeln, damit dieser sich einen Schädling herunterlädt und diesen installiert. Somit ist der Rechner komplett unter der Kontrolle der Angreifer.

Insbesondere bei Firmen hält Belanger den Fehler für problematisch, da es denkbar sei, mit der Methode ganze Firmennetze mit Macs zu übernehmen. "Das passiert alles ganz früh im Setup-Prozess, entsprechend gibt es fast keine Restriktionen, was diese Setup-Komponenten tun können." Apple hat den von Endahl und Belanger entdeckten Bug mit dem Update auf macOS 10.13.6 behoben.

(mt, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE