PC
가전
가전
PC
고정공지
(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.
놀이터 일간 추천 베스트 |
놀이터 일간 조회 베스트 |
보안 소식 애플의 macOS High Sierra 익스플로잇, 해커들이 키 체인 비밀번호를 순수 텍스트 형태로 훔치는데 악용할 수 있어
작성자: 티오피 조회 수: 238 PC모드
Apple macOS High Sierra Exploit Lets Hackers Steal Keychain Passwords in Plaintext
애플이 어제 macOS의 새로운 버전인 High Sierra 10.13을 공개했습니다. 이는 전 NSA 해커가 High Sierra 및 이전 버전의 macOS에 영향을 미치는 치명적인 취약점을 공개하기 단 몇시간 전에 공개 된 것으로 나타났습니다.
전 NSA 해커인 한 보안 연구원이 macOS에서 설치 된 어떤 프로그램이라도 Mac 키 체인에 저장 된 온라인 계정의 사용자 계정과 순수 텍스 형태의 패스워드를 훔칠 수 있도록 허용하는 치명적인 제로데이 취약점을 발견했습니다.
macOS 키체인은 애플 사용자들이 프로그램, 서버, 웹사이트, 암호화 키, 신용카드 번호 등의 패스워드들을 안전하게 저장할 수 있는 내장 된 패스워드 관리 시스템입니다. 이 비밀번호들은 사용자가 정의한 마스터 패스워드가 있어야만 접근이 가능합니다.
일반적으로 응용 프로그램들은 사용자가 마스터 패스워드를 입력하기 전까지는 키체인의 내용에 접근할 수 없습니다.
연구원은 “권한이 없는 악성 코드(또는 프로그램)가 키 체인에 접근해 순수 텍스트 형식의 패스워드들을 포함한 모든 데이터를 덤프할 수 있는 결점을 발견했습니다. 이는 일어나서는 안되는 일입니다.”고 밝혔습니다.
그리고 사용자가 마스터 패스워드를 입력하지 않아도 키체인으로부터 순수 텍스트 형태의 패스워드를 추출하는 것을 시연하는 PoC 영상을 공개했습니다.
영상은 서명 여부에 상관없이 설치 된 악성 프로그램을 통해 공격자가 원격으로 키체인에 저장 된 모든 패스워드를 훔치며, 사용자에게 공격을 알리지도 않는 것을 보여줍니다.
애플은 오늘 “macOS는 기본적으로 안전하며, Gatekeeper는 사용자들에게 서명 되지 않은 프로그램이 설치 되었을 때 경고해 명시적 승인 없이는 해당 프로그램을 실행할 수 없도록 합니다.”
“사용자들은 Mac App Store와 같은 신뢰할 수 있는 출처의 소프트웨어들만을 다운로드 하고, macOS가 보여주는 보안 대화창에 주의를 기울여야 합니다.”고 밝혔습니다.
자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다
문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
과연 '신뢰할 수 있는 출처'가 있을까요?