Mac OS X: "geringeres Risiko, aber letztlich unsicherer"

Der Sicherheitsexperte Charlie Miller will auf einen Schlag rekordverdächtige 20 Zero-day-Sicherheitslücken in Apple Mac OS X veröffentlichen. Die Details soll kommende Woche sein Vortrag auf der kanadischen Security-Konferenz CanSecWest liefern. Miller, der sich mit der Entdeckung einer Reihe von Bugs in Mac OS X einen Namen machte, sprach mit heise Security vorab über seine neuen Erkenntnisse und die Sicherheit des Apple-Betriebssystems.

Die rund 20 Zero-day-Lücken befinden sich laut Miller in Closed-Source-Produkten von Apple. Mac OS X biete allgemein aber "eine große Angriffsfläche aus Open-Source-Komponenten (webkit, libz, etc.), Closed-Source-Komponenten von Drittanbietern (Flash) und Closed-Source-Komponenten von Apple (Preview, mdnsresponder etc.)." Fehler in all diesen Komponenten können zur Remote-Kompromittierung führen, betont der Experte.

Miller fand die neuen Schwachstellen durch Fuzzing, also das Bombardieren der Eingabekanäle einer Anwendung mit möglichst vielen kaputten Daten. Der Untertitel seines Vortrags lautet: "Eine Analyse des Fuzzings von 4 Produkten mit 5 Zeilen Python-Code". Miller erläutert weiter: "Der Vortrag dreht sich darum, was man beim Fuzzing wirklich findet, und versucht, daraus Schlüsse zu ziehen, was man beim Fuzzen eines ausgereiften Produktes erwarten kann." Teil des Vortrags seien Statistiken darüber, welcher Prozentteil der Fehler beispielsweise nur zu Abstürzen führt und welcher sich übers Netz ausnutzen lässt.

In Cracking-Wettbewerben sind es regelmäßig die Apple-Systeme, in die Angreifer als Erstes eindringen können. Miller vertritt schon länger den Standpunkt, dass Mac OS X zu den vergleichsweise unsicheren Betriebssystemen zählt. Apple-Nutzer seien derzeit einem geringeren Risiko ausgesetzt, aber letztlich unsicherer ("safer, but less secure"). Malware-Schreiber scheren sich nicht um die vergleichsweise wenigen Apple-Anwender, doch bei gezielten Angriffen wie der Operation Aurora zähle das Marktanteil-Argument nicht mehr: "Mac OS X ist wie das Landleben auf einem Bauernhof ohne Türschlösser, und Windows ist wie das Leben hinter vergitterten Fenstern im Elendsviertel der Stadt."

Gemäß Millers Erfahrung sieht man bei Apple das Thema Sicherheit noch recht locker: "Sie verkaufen viele Computer; und niemand verzichtet auf den Kauf eines Apple-Computers wegen einer wahrgenommenen geringeren Sicherheit." Aus Sicht des Unternehmens habe Apple "kein Sicherheitsproblem, solange es nicht seinen wirtschaftlichen Erfolg betrifft, was bislang noch nicht der Fall war."

Update: Miller erklärt, dass er nicht beabsichtige, die 20 Apple-Bugs in seinem Vortrag auf der Konferenz zu enthüllen. Er werde lediglich zeigen, wie er diese 20 Bugs gefunden habe, heisst es in einem Twitter-Update.

Siehe dazu auch:

• Pwn2own-Fazit: "Mac hacken macht Spaß, Windows ist harte Arbeit"
• Datensalat, Schwachstellensuche mit Fuzzing

(cr)