Ouvrir le menu principal

MacGeneration

Recherche

Le trousseau de macOS affiche ses mots de passe en clair

Nicolas Furno

lundi 25 septembre 2017 à 22:30 • 65

macOS

macOS High Sierra n’est pas disponible depuis quelques heures qu’une faille de sécurité assez sérieuse est déjà connue. Un chercheur en sécurité qui a travaillé pour la NSA a présenté sur Twitter la preuve que le trousseau d’accès du système n’est pas aussi sécurisé qu’il devrait l'être. Cet utilitaire est chargé de stocker les mots de passe des sites web, les clés de sécurité des réseau Wi-Fi, mais aussi les numéros de vos cartes de paiement.

Autant dire qu’il contient des informations sensibles qui devraient rester chiffrées tant que vous ne voulez pas les utiliser. Pourtant, ce chercheur a déniché une faille qui lui a permis de créer une app capable de diffuser les données en clair. En passant ensuite par le terminal, il peut afficher tous les mots de passe en texte et certainement toutes les données sensibles enregistrées dans le trousseau d’accès de macOS.

Cliquer pour agrandir
Cliquer pour agrandir

Ce qui est particulièrement inquiétant, c’est que cette faille de sécurité est exploitée sans les autorisations root, c'est-à-dire sans avoir à autoriser le programme avec le mot de passe d’un administrateur sur le Mac. keychainStealer, l’app créée pour la démonstration, peut être lancée directement et elle fait son travail dans les limites de sécurité imposées par le sandboxing.

En théorie, une app ne devrait pas avoir accès au trousseau d’accès. Et même si c’était le cas, elle ne devrait pas pouvoir lire les données sans le mot de passe maître, car elles devraient être chiffrées. C’est une faille très sérieuse qui a été dénichée ainsi et Apple va probablement la régler très rapidement.

L’auteur de cette découverte n’a pas publié de code qui permettrait d’exploiter la faille, laissant ainsi à Apple le temps nécessaire pour réagir et la corriger avec une mise à jour. Cela fait quelques années que macOS améliore ses sécurités contre ce genre d’apps malveillantes, mais il est difficile d’éliminer avec certitude toutes les failles de sécurité.

Notons au passage que le système est configuré par défaut pour ne pas lancer des apps comme keychainStealer, qui ne sont pas signées avec un certificat développeur fourni par Apple. Seule la nouvelle version de macOS est a priori touchée, mais puisque le code source n’a pas été fourni, peut-être que les anciennes versions souffrent de la même faille de sécurité.

[MàJ 25/09/2017 22h48] : la faille de sécurité n’est pas spécifique à High Sierra. Inutile de reporter une mise à jour donc, et espérons qu’Apple corrige la faille au plus vite.

Source :

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Un clavier any key, un Stream Deck avec 1 262 touches, une protection en herbe ou un casque qui traduit les joueurs : les 🐟 2025

01/04/2025 à 23:59

• 0


Un moniteur OLED 4K 32 pouces en promotion sous les 1 000 €

01/04/2025 à 21:45

• 9


Déjà dans les difficultés, MacWay ne prend maintenant plus de commandes 🆕

01/04/2025 à 17:25

• 57


BenQ : découvrez leurs écrans spécialement conçus pour Mac !

Partenaire


Safari 18.4 : Apple abandonne le cadenas de la barre d’URL pour les sites HTTPS

01/04/2025 à 15:30

• 16


ChatGPT : le nouveau générateur d’images de GTP-4o est accessible à tous

01/04/2025 à 14:30

• 47


Sondage : connaissez-vous les prisons pour smartphones, une méthode physique pour restreindre l'addiction aux écrans ?

01/04/2025 à 14:10

• 31


Promo Amazon : -100 € à partir de 999 € d'achat sur des iPhone 16 et 16 Pro, Apple Watch, iPad…

01/04/2025 à 14:10

• 4


Orange va bientôt lancer deux nouvelles Livebox et augmenter ses débits

01/04/2025 à 13:54

• 37


iOS 18.4 est disponible avec Apple Intelligence et beaucoup d'autres nouveautés

01/04/2025 à 09:06

• 102


iOS 15.8.4, macOS 13.7.5 : des mises à jour pour les appareils anciens

01/04/2025 à 09:05

• 27


retroStrip ressuscite la Control Strip de Mac OS 7, mais pour macOS Sequoia

01/04/2025 à 07:00

• 6


Apple Intelligence dispo en France : toutes les nouvelles fonctions pour votre iPhone et votre Mac

31/03/2025 à 19:27

• 72


macOS 15.4 est disponible avec Apple Intelligence et les catégories dans Mail

31/03/2025 à 19:12

• 43


Adobe Substance 3D Painter abandonne les Mac Intel

31/03/2025 à 18:30

• 3


Ventes flash : un SSD externe 4 To autour de 200 € et d'autres bons plans sur le stockage

31/03/2025 à 18:23

• 31