Mac OS Security. Bezpieczeństwo systemu Mac OS X - wprowadzenie

Transkrypt

1 Mac OS Security Bezpieczeństwo systemu Mac OS X - wprowadzenie

2 Tytułem wstępu... Ale kolorowy ten slajd, nieprawdaż? Właśnie tak jest z Mac OS X Jak coś jest zbyt pastelowe, powinno wzbudzać nasze podejrzenia... 2

3 O czym będę mówił? Architektura OS X Cukierkowy software 3

4 Architektura OS X skąd to się wzięło? 4

5 Architektura OS X 5

6 Architektura OS X Sercem Mac OS X jest kernel XNU, składający się z następujących komponentów: Mach BSD I/O Kit 6

7 Architektura OS X 7

8 Architektura OS X Mach Rdzeń kernela Odpowiedzialny za: preemptive multitasking, including kernel threads (POSIX threads on Mac OS X are implemented using kernel threads) protected memory virtual memory management inter-process communication interrupt management real-time support kernel debugging support (the built-in low-level kernel debugger, ddb, is part of XNU's Mach component, and so is kdp, a remote kernel debugging protocol implementation) console I/O 8

9 Architektura OS X - BSD Jądro XNU zawiera także sporo kodu wywodzącego się z FreeBSD, uruchamianego równolegle z Mach, w tej samej przestrzeni adresowej. Kod z części BSD kernela jest odpowiedzialny za: Procesy Sygnały Podstawowe mechanizmy bezpieczeństwa (użytkownicy/grupy itp.) Wywołania systemowe Stos TCP/IP oraz sockety Firewall i filtrowanie pakietów 9

10 Architektura OS X I/O Kit I/O Kit - Środowisko dla sterowników, pozwalających dynamicznie dodawać moduły kernela tzw. kext Kernel EXTension Ukrywa przed programistami szczegóły kernela 10

11 konta użytkowników Pierwszym kontem tworzonym podczas instalacji systemu jest konto administracyjne jeśli to możliwe, powinno się ograniczyć korzystanie z niego na rzecz konta zwykłego użytkownika Konto root standardowo jest wyłączone (można je uaktywnić) oznacza to że zadania administracyjne muszą być wykonywane z kont o uprawnieniach administratora Dostęp do kluczowych elementów systemu, graficznych narzędzi administracyjnych, a także instalowania oprogramowania wymaga (za każdym razem) autoryzacji ( idiotoodporność ) 11

12 panel konfiguracji 12

13 aktywne usługi Po instalacji, domyślnie aktywnych jest tylko kilka usług: automounter, syslog, sunrpc oraz NetInfo NetInfo hierarchiczna, rozproszona baza danych przechowująca dane administracyjne, takie jak konta użytkowników i grupy, konfiguracja i, NFS, drukarek i innych zasobów (usługa w Mac OS X Server) Usługi takie jak FTP, SSH są domyślnie wyłączone 13

14 firewall Mac OS X posiada dwie zapory: zaczerpniętą z FreeBSD ipfw (IPFW2), oraz zaporę warstwy aplikacji (Application-based firewall) Application-based firewall ma też ładny graficzny interfejs, jednakże bez zaawansowanych możliwości konfiguracyjnych Oczywiście pierwszeństwo mają reguły ipfw jeśli ipfw nie przepuści jakiegoś pakietu, firewall aplikacyjny nie ma czego przetwarzać (i na czym się wysypać ;)) Wygodne logowanie zdarzeń 14

15 firewall 15

16 firewall aplikacyjny Firewall aplikacyjny 3 typy zachowań: Allowing all incoming connections tryb domyślny po instalacji (tak, naprawdę!) Allow only essential services najbardziej konserwatywny, ale niektóre usługi cały czas są dostępne Set access for specific services and applications Można dodawać nawet aplikacje konsolowe/skrypty System podpisuje cyfrowo dodawaną do reguł aplikację 16

17 firewall IPFW Firewall IPFW założenie jest takie żeby nie naprzykrzać się użytkownikowi, i: $ sudo ipfw print allow ip from any to any Po włączenie 'Stealth mode' na firewallu aplikacyjnym dochodzi jeszcze to: deny icmp from any to me in icmptypes 8 Czyli polegamy na firewallu aplikacyjnym. Czyli (domyślnie) na niczym :) 17

18 firewall 18

19 firewall 19

20 katalogi i pliki Mac OS X wspiera dwie podstawowe metody kontroli dostępu do danych: Uprawnienia POSIX standardowe dla systemów unixowych Access Control Lists (ACLs) kompatybilne z MS Windows Server 2003 & 2008, Windows XP & Vista 20

21 katalogi i pliki ACLe do weryfikacji uprawnień wykorzystują POSIX. Reguły weryfikacji znajdują się we wpisach ACE (Access Control Entry). Wpisy ACE są uporządkowane pierwszy ACE, który zostanie dopasowany determinuje uprawnienia ewentualne dalsze wpisy nie są brane pod uwagę. Możliwe jest wykorzystanie ACL do wprowadzenia restrykcji wykonywania programów setuid. 21

22 katalogi i pliki 22

23 Keychain Access Keychain umożliwia przechowywanie wrażliwych danych (hasła, certyfikaty,...) w jednym szyfrowanym pliku Można tworzyć wiele kontenerów keychain Każda pozycja w keychain posiada ACL 23

24 szyfrowanie dysku FileVault to wbudowany w Mac OS X mechanizm szyfrowania danych Można tworzyć szyfrowane obrazy dysków Katalog domowy jako kontener Szyfrowanie AES-256 (AES-128 ze względu na kompatybilność wstecz z Mac OS X 10.4) Domyślnie wyłączony Współpracuje z rozwiązaniem Smart Card Jak informuje Joanna Rutkowska jest to raczej DRTM (Dynamic Root of Trust Measurement) mogące być podatne na EvilMaid 24

25 szyfrowanie dysku 25

26 bezpieczne usuwanie danych Mac OS X ma zintegrowane narzędzia (Disk Utility) do bezpiecznego (nieodwracalnego) kasowania danych. Możliwe jest usuwanie poszczególnych plików i katalogów, jak również kasowanie całych dysków/partycji. Do wyboru mamy trzy metody usuwania: Zero-out (nadpisywanie zerami) 7-krotny przebieg (Department of Defense standard for sanitizaton of magnetic media) 35-krotny przebieg (algorytm Gutmanna) 26

27 kontrola bez klikania Wszystkie ustawienia z panelu preferencji można wykonywać z linii poleceń, za pomocą narzędzia defaults, np. aby włączyć użycie szyfrowanej pamięci wirtualnej: # Securing System Swap and Hibernation Storage # # Enable secure virtual memory. defaults write /Library/Preferences/com.apple.virtualMemory \ UseEncryptedSwap -bool YES 27

28 dodatkowe metody uwierzytelnienia System wspiera: Standard Smart Card Login (local/network) Administracja sytemem Odblokowanie kont z FileVault Odblokowanie keychain Szyfrowanie/podpisywanie maili Web access (HTTPS) VPN 802.1X Odblokowanie wygaszacza ekranu Tokeny Urządzenia biometryczne 28

29 przeciwdziałanie podejrzanym aplikacjom Pliki pobrane przez aplikacje Safari, Mail, ichat są oznaczane za pomocą metadanych przechowujących URL, datę i czas pobrania. Metadane są propagowane na pliki znajdujące się w archiwach (takich jak ZIP, DMG) Przy pierwszym uruchomieniu pobranego programu, Download Inspector wyświetla ostrzeżenie, i umożliwia zrezygnowanie z uruchomienia potencjalnie niebezpiecznego kodu 29

30 podpisywanie aplikacji Umożliwia kontrolę tożsamości i integralności aplikacji Wykorzystywane przez mechanizm Keychain, firewalla, kontrolę rodzicielską, preferencje systemowe itp. Producenci oprogramowania dla Mac OS mogą podpisywać swoje aplikacje 30

31 Cukierkowy soft, czyli... co kusi najbardziej! 31

32 Cukierkowy soft, czyli... co kusi najbardziej! W Macu znaleźć można wiele aplikacji przeładowanych funkcjonalnością Często te aplikacje są wzajemnie powiązane Szczególną uwagę przykuwają itunes, Safari, QuickTime 32

33 Cukierkowy soft, czyli... co kusi najbardziej - Safari Jednym z założeń projektowych Mac OS X jest łatwość korzystania Wszystko powinno po prostu działać Takie podejście oznacza, że system operacyjny wspiera prawie każdy format pliku i protokół jaki można sobie wyobrazić Safari obsługuje ponad 60 różnych formatów Ciężko jest zapewnić bezpieczne parsowanie takiej ilości, co skutkuje dużą powierzchnią ataku Dodatkowo Safari jest powiązane z olbrzymią ilością aplikacji, które można wywoływać np. za pośrednictwem URL, można m.in. otworzyć sesję VNC via Screen Sharing, otworzyć sesję SMB w Finderze,... 33

34 Cukierkowy soft, czyli... co kusi najbardziej - QuickTime Szerokie pole do wysypania/przejęcia kontroli/innego złośliwego wykorzystania aplikacji QuickTime daje nieprawidłowe parsowanie; błędy pojawiają się każdego roku CVE : Viewing a maliciously crafted H.264 movie may lead to an unexpected application termination or arbitrary code execution (heap overflow) CVE : Viewing a maliciously crafted FlashPix image may lead to an unexpected application termination or arbitrary code execution CVE : Multiple memory corruption issues existed in QuickTime's handling of JPEG2000 images. Viewing a maliciously crafted JPEG2000 image with QuickTime may lead to an unexpected application termination or arbitrary code execution 34

35 Cukierkowy soft, czyli... co kusi najbardziej - itunes Problemy podobne jak w przypadku QuickTime Apple stara się uniemożliwić debugowanie itunes (nie można się podpiąć pod proces za pomocą Dtrace lub GDB; flaga PT_DENY_ATTACH) widocznie itunes jest na tyle niebezpieczny i dziurawy, że lepiej żeby nikt tam nie zaglądał ;) CVE CVE Multiple memory corruption issues exist in WebKit. A man-inthe-middle attack while browsing the itunes Store via itunes may lead to an unexpected application termination or arbitrary code execution. 35

36 Linki tu można znaleźć opracowania dotyczące bezpieczeństwa Mac OS X i Mac OS X Server, będące efektem współpracy Apple, NSA, NIST oraz DISA. - prezentacja nt. Architektury OSX - J. Rutkowska opisuje Trusted Boot (w kontekście DRTM FileVault) 36

37 Pytania? 37