[外電消息] Mac OS X Lion資安缺失：他人可重設密碼

資安部落格Defence in Dept日前發表了一個關於Mac OS X Lion「獅子」作業系統資安漏洞的文章，表示居心不良者可以利用這個資安漏洞更改共同使用一部Mac電腦的人的密碼。

用戶密碼一般是儲存在一個叫做影子檔(shadow file)的檔案中，這檔案要有密碼才存取或進行變更，所以僅有管理員或有根目錄權限者才能存取檔案。

然而在「獅子」系統下，雖然非根目錄用戶無法直接存取影子檔，有帳號進入同一部Mac電腦的非根目錄用戶，仍舊可以從目錄服務(Directory Service)更改其他用戶的密碼資料。例如，當非根目錄用戶在一部Mac電腦上鍵入「$ dscl localhost -passwd /Search/Users/bob」，便可自行提供另一組密碼，替共同使用這部電腦的Bob更換密碼。所以問題是，「獅子」作業系統並沒有對密碼變更者進行身分認證，因此共用同一部Mac電腦的用戶便可以輕易地更改其他用戶的密碼資料。

但若用戶是該部Mac電腦的唯一用戶，便無須擔心這個問題，因為只有可以使用同一部電腦與目錄服務(Directory Service)的人，才有機會利用這個漏洞。

這是一個對使用公用電腦或與他人分享電腦的人才會構成的資安問題，相信蘋果應該很快就對動手修訂。但在這之前，Mac用戶最好可以遵守基本的資安守則，像是關掉自動登錄功能，設定電腦從睡眠模式醒來時須要密碼才能進入，並將來賓帳號關掉。

來源：Defence in Depth、cnet