অ্যাপল, ইনক।, সি-নেট
ম্যাকোস সুরক্ষিত ইউনিক্স পরিবেশ হিসাবে কাজ করার জন্য খ্যাতি রয়েছে, তৃতীয় পক্ষের বিকাশকারীরা অপারেটিং সিস্টেমের সুরক্ষা পরিষেবাদিগুলিকে ঠকানোর জন্য তাত্ত্বিকভাবে অ্যাপলের কোড স্বাক্ষরকারী এপিআই ব্যবহার করতে পারে। এই সরঞ্জামগুলি তখন ভুলভাবে বিশ্বাস করতে পারে যে এম্বেড করা দূষিত কোডটি অ্যাপল স্বাক্ষর করেছে এবং তাই এটি যাই করুক না কেন চালানো নিরাপদ।
কোড সাইনিং অবিশ্বস্ত কোড আগাছা করার একটি দুর্দান্ত উপায় যাতে কোনও সিস্টেমে চলমান একমাত্র প্রক্রিয়াগুলি সেগুলি কার্যকর করা নিরাপদ। ম্যাকওএস এবং আইওএস উভয়ই মাচ-ও বাইনারিগুলির সাথে সাথে অ্যাপ্লিকেশন বান্ডিলগুলি প্রত্যয়িত করতে স্বাক্ষর ব্যবহার করে তবে মনে হয় যে সপ্তাহের প্রথমদিকে বিশেষজ্ঞরা এই সিস্টেমটিকে দুর্বল করার উপায় খুঁজে পেয়েছেন।
ইনফোসেক গবেষকদের মতে, বিপুল সংখ্যক সুরক্ষা পণ্য ক্রিপ্টোগ্রাফিক স্বাক্ষর যাচাই করার একটি ত্রুটিপূর্ণ পদ্ধতি ব্যবহার করে, যা তাদেরকে অ্যাপল স্বাক্ষরিত হিসাবে সম্ভাব্য স্বাক্ষরিত কোডটি দেখতে দেয়।
দেখে মনে হচ্ছে অ্যাপলের নিজস্ব সরঞ্জামগুলি, তবে, API গুলি যথাযথভাবে প্রয়োগ করেছে। দুর্বলতা কাজে লাগানোর পদ্ধতিটি কিছুটা স্বতন্ত্র এবং চর্বিযুক্ত বাইনারিগুলি কীভাবে কাজ করে তা অন্তত কিছুটা নির্ভর করে।
উদাহরণস্বরূপ, এক সুরক্ষা গবেষক অ্যাপল দ্বারা স্বাক্ষরিত একটি বৈধ প্রোগ্রামকে একত্রিত করে এবং এটি একটি বাইনারি দিয়ে মিশ্রিত করেছিলেন যা i386 সংকলিত ছিল তবে x86_64 সিরিজের ম্যাকিনটোস কম্পিউটারগুলির জন্য।
আক্রমণকারীকে তাই একটি পরিষ্কার ম্যাকোস ইনস্টলেশন থেকে বৈধ বাইনারি নিতে হবে এবং তারপরে এতে কিছু যুক্ত করতে হবে। নতুন বাইনারিতে সিপিইউ টাইপ লাইনটি আশ্চর্যজনক এবং অবৈধ কিছুতে সেট করতে হবে যাতে দেখতে এটি হোস্ট চিপসেটের মতো নেটিভ হয় না কারণ এটি কার্নেলকে বৈধ কোড থেকে বাদ দিতে এবং স্বেচ্ছাচারিতা কার্যকর করতে শুরু করবে লাইন নিচে পরে যুক্ত করা হয় যে প্রক্রিয়া।
অ্যাপলের নিজস্ব প্রকৌশলীরা অবশ্য এই লেখার সময় যতটা হুমকিস্বরূপ তা দেখছেন না। ব্যবহারকারীদের শোষণের ইনস্টলেশন অনুমোদনের জন্য এটির জন্য একটি সামাজিক প্রকৌশল বা ফিশিং আক্রমণ প্রয়োজন। তবুও, বেশ কয়েকটি তৃতীয় পক্ষের বিকাশকারী প্যাচ জারি করেছেন বা তাদের ইস্যু করার পরিকল্পনা করেছেন।
ব্যবহারকারীরা যে কোনও প্রভাবিত সুরক্ষা সরঞ্জাম ব্যবহার করছেন তাদের ভবিষ্যতের সমস্যাগুলি রোধ করার জন্য প্যাচগুলি উপলব্ধ হওয়ার সাথে সাথেই আপডেট করার জন্য অনুরোধ করা হয়েছে, যদিও এই শোষণের কোনও পরিচিত ব্যবহার এখনও পর্যন্ত উদ্ভূত হয়নি।
ট্যাগ অ্যাপল সুরক্ষা ম্যাক অপারেটিং সিস্টেম
