Un ordenador al que se tiene acceso físico es siempre una “presa fácil” y solo y únicamente el tiempo de acceso y la pericia del que accede puede ser un factor determinante para no ser asaltados. Y encima, Apple cada vez lo pone mas fácil.
En Mac OS X, las contraseñas de usuario están almacenadas en unos archivos especiales llamados “archivos fantasma” (Shadow files) que están almacenados en ubicaciones seguras en el disco duro. Estos archivos, protegidos a través de un set de permisos, solo son accesibles por el usuario dueño de los mismos o un administrador del sistema si dispone de los privilegios requeridos. Esto implica que solo un usuario puede cambiar su contraseña o en su caso, un administrador con los privilegios adecuados. Sin embargo, cualquier persona que tenga acceso físico a tu Mac es capaz de, con algo de tiempo y conocimientos, poder robar esas contraseñas o incluso cambiarla con todo lo que ello conlleva
A finales de 2009, el blog dedicado a la seguridad “Defense in Depth” dió a conocer un método para extraer las contraseñas de usuario basadas en la interpretación del Hash, la contraseña codificada almacenada en el Shadow file. Independientemente de la posibilidad de romper la seguridad descifrando esa contraseña, para acceder a la misma se requería un acceso administrativo al sistema, es decir, el usuario debía ser un administrador.
En Mac OS X 10.7 Lion ha habido cambios por parte de Apple y estos cambios no es que precisamente mejoren la seguridad de estas contraseñas almacenadas en los “Shadow files” sino que la empeoran. Y notablemente ya que cualquier usuario con acceso o cuenta en ese Mac puede acceder a los Shadow Files y virtualmente romper la seguridad.
En Lion los permiso de usuario para los Shadow Files son tan restrictivos como en versiones anteriores del sistema operativo, sin embargo, la ubicación de estos archivos es ahora accesible para todos los usuarios del ordenador, administradores o no. Como resultado, los Hashes pueden ser extraídos de los Shadow files sin la necesidad de aportar las correspondientes credenciales de administrador y utilizando diferentes herramientas, extraídos de su codificación las contraseñas. Hay un tutorial extremadamente detallado de Defense in Depth que puede ejecutarse incluso por un usuario no administrador.
El ejemplo es claro: Si ejecutas en el Terminal:
dscl localhost -read /Search/Users/USERNAME
Recibirás un aluvión de datos. Concretamente, dsAttrTypeNative:ShadowHashData: es el Hash que contiene la contraseña, codificada en SHA512 + 4 Bytes). El problema es que cualquier usuario puede hacerlo incluso si no tiene derechos administrativos.
Pero no es el único problema relativo a esta estructura de seguridad implementada por Apple en Lion: con esta nueva organización de archivos, cualquier usuario puede, en su caso, pisar la contraseña del administrador de la cuenta y cambiarla por otra. Al ejecutar el comando:
dscl localhost -passwd /Search/Users/USERNAME
el Terminal nos ofrecerá un mensaje de error, pero si introduces la nueva contraseña en todas las solicitudes, la contraseña de usuario se cambiará y será factible poder acceder a esa cuenta … aunque el sigilo relativo al acceso de la misma se pierde, puesto que el cambio de contraseña es mas que evidente.
Enlaces relacionados
Si me dejas sentarme delante de tu Mac tu seguridad no sirve de nada
Si me dejas sentarme delante de tu Mac tu seguridad no sirve de nada, II
hola, intente hacer lo que explicas para cambiar la contraseña, pero el problema es que cuando escribo el pass no me deja escribirlo, he leído por achique aunque no se vea este igual se escribe….lo hice de esa forma, pero cuando le doy enter sale error….cuantas veces debo repetir la operación ??