Nach Apple-Patch: KeySteal-Exploit für Mac-Schlüsselbund veröffentlicht

Apple hat die Schlüsselbund-Schwachstelle in neueren macOS-Versionen beseitigt. Nutzer älterer Macs können sich per Workaround schützen.

In Pocket speichern vorlesen Druckansicht 10 Kommentare lesen
MacBook

(Bild: dpa, Silas Stein)

Lesezeit: 2 Min.
Von
  • Leo Becker

Für eine gravierende – von Apple in neueren macOS-Versionen geschlossene – Schwachstelle gibt es nun einen öffentlichen Exploit: Der KeySteal genannte Code ist auf Github verfügbar und erlaubt den stillen Zugriff auf die Inhalte des zentralen Mac-Schlüsselbundes, in dem unter anderem Passwörter gespeichert werden und Nutzer verschlüsselte Notizen hinterlegen können.

Der Exploit ermögliche den Zugriff auf den Schlüsselbund – ohne den Nutzer dafür erst um die eigentlich erforderliche Eingabe des Account-Passwortes bitten zu müssen. Details zu der Schwachstelle und KeySteal hat der Sicherheitsforscher Linus Henze schon Anfang Juni auf der Sicherheitskonferenz Objective by the Sea präsentiert, die Präsentation ist inzwischen auch online verfügbar.

Der Exploit lässt sich über manipulierte Apps einschleusen oder mit anderen bislang unbehobenen Schwachstellen koppeln, zum Beispiel mit Bugs in WebKit – dies könnte ein Auslesen des Schlüsselbundes etwa auch durch Aufrufen einer bösartigen Webseite in Safari ermöglichen, wie Henze anmerkte.

Die Schwachstelle betrifft Macs bis hin zu macOS Mojave 10.14.3 – ab dem im März veröffentlichten macOS 10.14.4 ist sie gestopft. Laut Apple wurde der Fehler auch mit den jüngsten Sicherheits-Updates für macOS 10.13.6 High Sierra und macOS 10.12.6 Sierra ausgeräumt.

Nutzer, die auf ihrem Mac noch ein älteres System wie etwa OS X 10.11 El Capitan einsetzen, bleiben offenbar verwundbar.

Per Rechtsklick auf den Schlüsselbund sperrt man diesen von Hand – oder wahlweise automatisch nach einer gewissen Zeit.

Hier bleibt nur, sich per Workaround zu schützen. Der Angriff setzt voraus, dass der Schlüsselbund entsperrt ist, das ist bei der Keychain "Anmeldung" standardmäßig der Fall, sobald man sich eingeloggt hat. Nutzer müssen ihre Schlüsselbunde deshalb zum Schutz von Hand sperren, um ein Auslesen der Daten unmöglich zu machen. Das hat allerdings zur Konsequenz, dass es zu auf steten Nachfragen kommt, sobald Apps und Systemdienste berechtigt auf Zugangsdaten zurückgreifen wollen – dann muss man jeweils per Passworteingabe den Schlüsselbund dafür freigeben.

Henze hatte von Apple ursprünglich gefordert, endlich ein Bug-Bounty-Programm für macOS einzurichten, dass Sicherheitsforscher für das Melden von Schwachstellen entlohnt. Obwohl Apple der Forderung nicht nachkam, übermittelte Henze die Details zur der Lücke Anfang März schließlich doch an Apple – der Patch folgte dann rund drei Wochen später. (lbe)