Problèmes de sécurité pour Mac OS X Update ?
Et si des pirates profitaient du système de mise à jour logicielle intégré à Mac OS X pour s’introduire dans votre machine ? C’est en tout cas ce que laisse entendre l’auteur d’un message posté sur BugTraq, liste de diffusion spécialisée dans les problèmes de sécurité.
A en croire un message envoyé à la liste de diffusion BugTraq (lire la FAQ à son sujet, en anglais), le système de mise à jour automatique de Mac OS X ne serait pas suffisamment sécurisé. Il permettrait relativement facilement pour un pirate d’installer, par exemple, un logiciel de prise de contrôle à distance de la machine par ce biais.
Selon Russell Harding, l’auteur du message, le problème réside dans le fait que le module système « Software Update » est utilisé sans aucune authentification. « A l’aide de techniques connues, comme le DNS spoofing, ou le DNS poisoning, il est aisé de pousser un utilisateur à installer un programme malveillant en lui faisant croire qu’il s’agit d’une mise à jour en provenance d’Apple », explique-t-il notamment.
DNS spoofing et poisoning
Dans le premier cas, un pirate intercepte la demande d’une machine en recherche de mise à jour et lui fournit l’adresse IP d’un serveur différent de celui d’Apple. Le système, ne cherchant pas à vérifier qu’il est connecté au bon endroit, télécharge alors une liste de fausses mises à jour disponibles. Laquelle peut donc contenir un ou plusieurs programmes malveillants. Dans le second cas, le pirate fait en sorte de modifier un serveur DNS officiel (c’est-à-dire une des copies de la table de correspondance entre adresse IP et nom de serveur) pour que la bonne adresse IP du serveur Apple renvoie en réalité vers un serveur pirate… Au final, le résultat est le même.
Pour l’heure, aucune solution ni correctif n’existe. Un porte-parole d’Apple a juste indiqué que la société « prenait au sérieux toutes les alertes de sécurité et qu’elle allait procéder à une enquête approfondie à ce sujet ». Du coup, un des participants au fil de discussion propose tout simplement de décocher l’option de vérification hebdomadaire de disponibilité de mise à jour (choisie par défaut à l’installation du système) et surtout de ne pas toucher au bouton « Mettre à jour maintenant » ! Pas vraiment une solution à long terme si le problème s’avère…