Gapende sikkerhetshull i MacOS

[ATWindsor]

 

Så du mener dette er tiltenkt, og ikke et sikkerhetshull?

Dette heller vel mer mot sikkerhetshull enn tiltenkt.

Poenget mitt var at Apple ikke sikter mot noe Fort Knox på maskinene.

Håper de har bedre sikkerhetsregime på servere.

 

 

Poenget ditt er jo strengt tatt ikke særlig relevant til denne saken, når det ikke er tiltenkt oppførsel fra Apples side? 

 

AtW

[Bandaloginzih]

Gjelder kun High Sierra det her ja, og det er helt sinnsykt skremmende!

 

Rich Trouton har laget et script som setter et langt og random root-passord, og deretter setter root brukers shell til /usr/bin/false slik at den ikke er brukbar. Anbefalt metode inntil Apple rydder opp!

 

https://github.com/rtrouton/rtrouton_scripts/blob/master/rtrouton_scripts/block_root_account_login/block_root_account_login.sh

[xaco]

At å sette root-passord ikke er påkrevet ved oppsett (førstegangsbruk) av MacOS er helt hårreisende.

Nja, jeg har ikke passord på root brukeren på de fleste av mine linux bokser. Så helt hårreisende er det ikke, er mer hårreisende at man får logget inn på kontoen når det ikke er satt.

[Øystein H]

Det er et ganske drøyt sikkerhetshull. Gjelder det kun denne versjonen?

 

AtW

 

Hullet finnes ikke i OSX v10.12 (Sierra).

[arne22]

En Linux server som kjører opp mot Internett vil jo ofte ha noen hundre innbruddsforsøk pr dag.

[vidor]

Poenget ditt er jo strengt tatt ikke særlig relevant til denne saken, når det ikke er tiltenkt oppførsel fra Apples side?

Det må du få lov å mene. Ulike syn på ting har vel skjedd et par ganger før i historien også.

Ting som andre kanskje finner relevant trenger ikke nødvendigvis være det for deg.

[kmlund]

Dette er en skikkelig stygg svakhet.

 

Det er dog ikke slik at "root kontoen ikke har passord", slik noen her ser ut til å anta. I MacOS er root-kontoen normalt sett deaktivert, og man skal ikke kunne logge inn med den i det hele tatt. Man skal egentlig måtte aktivt grave seg ned til en rimelig obskur innstilling for å aktivere root i det hele tatt.

 

Her ser det ut til at root kontoen blir aktivert med blankt passord ved første gangs påloggingsforsøk. Det er jo helt hårreisende.

 

Ah, i så fall synes jeg artikkelen er litt upresis, eller kanskje jeg ikke kjenner Mac OS godt nok, har ikke tatt i en mac siden ca 1995. Takk for presiseringen, nå gir det hele mer mening.

[Junk Inbox]

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

[Bandaloginzih]

 

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

 

Og hvem gidder vel bruke en standard-konto å jobbe på for å måtte autentisere med en admin-konto når ting skal installeres eller endres?

[henrikwl]

Men at Apple setter hipster-hårbolla i postkassa med passordfritt root... ...Jo, litt drøy den.

 

 

Det er ikke det som er problemet. root er i utgangspunktet deaktivert og man skal ikke kunne logge inn i det hele tatt uansett hvor mange passord man måtte prøve.

 

Det som her er feilen, er at root kontoen tydeligvis blir aktivert første gang man prøver å logge inn med den. Under alle normale omstendigheter hvor root kontoen blir aktivert bevisst av en bruker er man nødt til å sette et passord på den.

Endret 29. november 2017 av henrikwl

[Gjest Slettet-aEAbw77a]

Jeg prøvde å gjøre dette nettopp på min maskin, men fikk ikke til... hvor mange gang må man trykke på enter?

[henrikwl]

Jeg prøvde å gjøre dette nettopp på min maskin, men fikk ikke til... hvor mange gang må man trykke på enter?

 

 

Er du på High Sierra? Har du kanskje aktivert root ved en tidligere anledning og satt passord på den?

[Gjest Slettet-aEAbw77a]

 

Jeg prøvde å gjøre dette nettopp på min maskin, men fikk ikke til... hvor mange gang må man trykke på enter?

 

 

Er du på High Sierra? Har du kanskje aktivert root ved en tidligere anledning og satt passord på den?

 

 

Er på High sierra ja.

Etter jeg testet, sjekket jeg om root var aktivert, og det var den ja, men kan ikke huske nårtid jeg har gjort det, eller hva passordet er...

[Junk Inbox]

 

 

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

 

Og hvem gidder vel bruke en standard-konto å jobbe på for å måtte autentisere med en admin-konto når ting skal installeres eller endres?

 

Er det noen som bruker standard konto i win ? De er jo totalt ubrukelige.   Er alltid like moro å hjelpe folk med pc problemer på en standard konto og så husker de ikke passordet på admin kontoen. Da er det bare å formatere..

Endret 29. november 2017 av Junk Inbox

[henrikwl]

Er på High sierra ja.

Etter jeg testet, sjekket jeg om root var aktivert, og det var den ja, men kan ikke huske nårtid jeg har gjort det, eller hva passordet er...

 

Da er du trygg for denne sårbarheten i hvert fall.

 

Etter at Apple har kommet med en fiks bør du deaktivere root igjen hvis du ikke har et konkret behov for den. Usikker på om du trenger root passordet for å få deaktivert den eller om det holder med passordet til admin-kontoen din.

[VincentYa]

 

 

 

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

 

Og hvem gidder vel bruke en standard-konto å jobbe på for å måtte autentisere med en admin-konto når ting skal installeres eller endres?

 

Er det noen som bruker standard konto i win ? De er jo totalt ubrukelige.   Er alltid like moro å hjelpe folk med pc problemer på en standard konto og så husker de ikke passordet på admin kontoen. Da er det bare å formatere..

 

 

Nei finnes utallige metoder å komme seg inn på en windows maskin selv om de har glemt passord.....

[Junk Inbox]

 

 

 

 

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

 

Og hvem gidder vel bruke en standard-konto å jobbe på for å måtte autentisere med en admin-konto når ting skal installeres eller endres?

 

Er det noen som bruker standard konto i win ? De er jo totalt ubrukelige.   Er alltid like moro å hjelpe folk med pc problemer på en standard konto og så husker de ikke passordet på admin kontoen. Da er det bare å formatere..

 

 

Nei finnes utallige metoder å komme seg inn på en windows maskin selv om de har glemt passord.....

 

Hvordan da ? Via linux på minnepenn ?

[Bandaloginzih]

 

 

Jeg prøvde å gjøre dette nettopp på min maskin, men fikk ikke til... hvor mange gang må man trykke på enter?

 

 

Er du på High Sierra? Har du kanskje aktivert root ved en tidligere anledning og satt passord på den?

 

 

Er på High sierra ja.

Etter jeg testet, sjekket jeg om root var aktivert, og det var den ja, men kan ikke huske nårtid jeg har gjort det, eller hva passordet er...

 

Om du har forsøkt åpne med "hengelåsen" i Systemvalg på din mac ved å skrive inn root og blank passord er det mulig du aktiverte kontoen med blankt passord.

Prøv åpne hengelås på nytt med root og blank passord og trykk et par-tre ganger, om du fortsatt ikke kommer inn er du sikret, hvis du kommer inn anbefaler jeg kjøre script som jeg har linket til litt tidligere her

[Gjest Slettet-aEAbw77a]

 

 

 

Jeg prøvde å gjøre dette nettopp på min maskin, men fikk ikke til... hvor mange gang må man trykke på enter?

 

 

Er du på High Sierra? Har du kanskje aktivert root ved en tidligere anledning og satt passord på den?

 

 

Er på High sierra ja.

Etter jeg testet, sjekket jeg om root var aktivert, og det var den ja, men kan ikke huske nårtid jeg har gjort det, eller hva passordet er...

 

Om du har forsøkt åpne med "hengelåsen" i Systemvalg på din mac ved å skrive inn root og blank passord er det mulig du aktiverte kontoen med blankt passord.

Prøv åpne hengelås på nytt med root og blank passord og trykk et par-tre ganger, om du fortsatt ikke kommer inn er du sikret, hvis du kommer inn anbefaler jeg kjøre script som jeg har linket til litt tidligere her

 

 

Ser ingen grunn til at jeg har prøvd å åpne hengelås med root, men prøvde det nå, og det fungerte heller ikke. Så er sikret av en eller annen grunn.

Men skal ikke se bort i fra at jeg har fiklet meg inn på root en eller annen gang, gjør mye rart som utvikler

[mkaut]

 

 

 

 

 

Det er det som man kaller for brukervennlighet. Ingen grunn til å være hindret av et passord.

Hvem bruker passord på root og admin ?? Alt for tungvint 

 

Og hvem gidder vel bruke en standard-konto å jobbe på for å måtte autentisere med en admin-konto når ting skal installeres eller endres?

 

Er det noen som bruker standard konto i win ? De er jo totalt ubrukelige.   Er alltid like moro å hjelpe folk med pc problemer på en standard konto og så husker de ikke passordet på admin kontoen. Da er det bare å formatere..

 

Nei finnes utallige metoder å komme seg inn på en windows maskin selv om de har glemt passord.....

 

Hvordan da ? Via linux på minnepenn ?

Ja. Med mindre det er brukt kryptering får man da full tilgang til disken.

Da kan man for ex. erstatte programmet som kjører "accessibility options" (en .exe fil som jeg ikke husker navnet til i farta) med cmd.exe. Etterpå er det bare å starte Windows og klikke på "accessibility options" på login-skjermen. Da får man en kommandolinj hvor man kan bytte passord osv :-)