[img=right]http://www.macfreak.org/base/data/news/images/virus.jpg[/img]Het heeft nogal wat commotie veroorzaakt: een MacBookAir zou binnen twee minuten gehackt zijn en daarmee zou aangetoond zijn dat MacOSX (10.5.2) inherent onveiliger is dan Windows Vista SP1 of Ubuntu 7.10
Maar is dat ook zo?
Allereerst de opzet van deze 'competitie'.
Het
CanSecWest event (overigens mede gesponsord door Microsoft, maar dit terzijde) bestond uit drie delen:
Dag 1: Hier waren alleen directe aanvallen over het netwerk toegestaan.
Dag 2: Nu mocht met een standaard email client, een im client of een browser naar een server gelinkt worden.
Dag 3: Er werd een beperkt aantal 3rd party apps geïnstalleerd die ook voor de hack gebruikt konden worden
Aanvullende voorwaarde: mocht een kwetsbaarheid een cross-platform werking hebben mocht deze maar op één systeem worden toegepast.
De target-machines waren:
• VAIO VGN-TZ37CN met Ubuntu 7.10
• Fujitsu U810 met Vista Ultimate SP1
• MacBook Air met OSX 10.5.2
De eerste dag overleefden alle systemen probleemloos. De tweede dag werd de MacBookAir naar een speciaal geprepareerde website geleid die gebruik maakte van een kwetsbaarheid in Safari en viel ten prooi aan een daardoor mogelijk gemaakte telnet verbinding.
Dat de MacBookAir dus binnen twee minuten voor de bijl ging had alles te maken met de voorbereiding: Men wist tevoren van de kwetsbaarheid en had vooraf een website geprepareerd die hiervan gebruik (misbruik) kon maken. En dus niet - zoals sommige media beweren - dat een 'onvoorbereide hacker' er in geslaagd was om binnen twee minuten een gat in OSX te vinden.
Saillant detail: er was een team die een vergelijkbare kwetsbaarheid in Vista had voorbereid, maar deze was net gedicht door SP1 die vlak voor de competitie was uitgebracht en op het systeem geïnstalleerd. Uiteindelijk werd het Vista systeem gehackt op dag 3 via een kwetsbaarheid in Adobe's Flash.
De Sony VAIO met Ubuntu werd niet gehackt. Dat lijkt raar, want Ubuntu schijnt
niet zo moeilijk te hacken te zijn. Maar waarom zou je je best doen voor $ 10.000,- als
volgens de chatrooms van Ubuntu een mooie hack een veelvoud van dit bedrag waard is op de 'zwarte markt'? Hetzelfde geldt natuurlijk ook voor Vista: in tegenstelling tot voor het Mac platform is er voor de Windows varianten een levendige handel in exploits. Op dit platform is het een miljoenen-business: grote spammers exploiteren netwerken van spambots die allemaal draaien op dit soort kwetsbaarheden en de vraag lijkt dus gerechtvaardigd of de hackers hier het achterste van hun tong hebben laten zien.
De kwetsbaarheid in OSX blijkt trouwens een
Javascript probleem te zijn in de Webkit. Dus niet in het OS zelf, maar in een 3rd party gedeelte wat door Safari gebruikt wordt. Apple acht zich hier uiteraard wel verantwoordelijk voor en het lek is
inmiddels gedicht door het Webkit team en is nu al verwerkt in de
nightly builds van Webkit en zal binnenkort (wanneer het volledig uitgetest is) in een officiële Safari (security) update verschijnen.
Moeten we hier nu wakker van liggen? Nee, wat mij betreft niet.
Het betreft hier een van de vele kwetsbaarheden die in elk besturingssysteem te vinden is. Maar dat betekent nog niet dat hier op enige schaal ook exploits voor op de 'markt' zijn en voor dat deze de kans krijgen de kop op te steken zal het lek alweer gedicht zijn in een eerstvolgende security update.
Vooralsnog hebben we met OSX nog steeds een virus vrij en spyware vrij platform en ik zie ook nu geen reden om over te gaan tot de aanschaf van een virusscanner of vergelijkbaar pakket. Geen vage software (die om het wachtwoord vraagt) downloaden en trouw de security updates installeren, is wat mij betreft nog steeds voldoende.
Gast
