一个德国青少年构建了一个可以窃取Mac计算机密码的应用程序

7月至9月期间，苹果售出了不到4700万部iPhone和约1000万部iPad。相比之下，苹果在同一时间内销售了约530万台Mac电脑。显然，世界上最受欢迎的以水果为主题的电子公司从iOS设备赚取的钱远远超过电脑和笔记本电脑。这是否意味着macOS用户在安全性方面被排除在外？一位名叫Linus Henze的德国青少年似乎认为这正是正在发生的事情。但我们为什么要听他的话？

因为他发现了影响Apple桌面操作系统所有现代版本的严重漏洞。他称之为KeySteal，通过它，他可以从Keychain中抓取所有敏感数据 - 许多人用来存储用户名和密码的内置系统。

恶意应用程序可以窃取您的所有密码

周日，自称为macOS和iOS的粉丝发布了一个视频 ，说明了这个问题。攻击确实依赖于用户在Apple机器上运行一些恶意代码，但Henze认为至少有两个感染媒介可以使密码窃取成为可能。

其中之一涉及所谓的供应链攻击，其中黑客破坏了合法软件供应商的基础设施，并将恶意软件嵌入到新版本或良性应用程序的更新中。第二种可能性是欺骗用户访问可以在受害者机器上执行恶意代码的网页。

Henze的视频显示KeySteal不需要任何额外的权限即可工作。恶意软件不会触发任何密码提示，无论您是否选择在所有iDevices上同步数据，它都能正常运行。

途中没有补丁

这是白帽黑客发现的严重漏洞。通常情况下，在这种情况下，黑客会联系供应商，私下披露所有细节，供应商会发布补丁以堵塞漏洞，然后才能利用它。只有这样，一般公众才能了解整件事。这一次，事情不会像这样。

虽然视频显示了行动中的漏洞利用，但概念验证代码并不公开。少数人见过的人之一是帕特里克·沃德尔 （ Patrick Wardle） ，他是前NSA分析师和现任安全专业人士，有着通过钥匙扣的安全漏洞的历史。他证实这个漏洞是真实的，而且非常严重。

Apple的安全团队要求Linus Henze进行攻击，但他拒绝与他们分享细节。他说，其原因在于缺少针对macOS的bug赏金计划。

这个古老的虫子赏金问题

有些人可能会突然冒犯并指责Henze因为阻止Apple发现更多关于这个问题并修复它而使用户面临风险。有些人甚至可能会因为贪婪而只是因为名利而且可能是金钱而责备他。

然而，事实上，像Linus Henze这样的人做了高技能和非常重要的工作，影响到每个人 - 从硅谷巨头的CEO到有效支付薪水的最终用户. 让这项工作没有得到回报，或者要求研究人员将它换成品牌棒球帽和T恤是完全不合逻辑的。

说到逻辑，我们还没有听到一个合理的解释，为什么iOS被bug赏金计划所覆盖（ 并不总是能够正常运行 ），而macOS则不然。我们将由您自行决定是否与我们在第一段中引用的数字有关。

你还必须记住另一件事。现在预计补丁不会意味着其他人可能会开始寻找漏洞。那些发现它的人可能会有比Linus Henze更加邪恶的意图。

你能做些什么来保护自己？

该漏洞利用取决于解锁的macOS Keychain。在大多数情况下，这会在您登录时自动发生，但您可以对其进行设置，以使您的帐户和Keychain密码不同。这意味着每次您需要使用Keychain中的数据时，您都需要手动解锁。但是，这也可能意味着您需要经常输入您的钥匙串密码。

您的另一个选择是完全取消Keychain并使用专用的密码管理应用程序，如Cyclonis Password Manager。它还以加密格式存储您的密码，并允许您在多个设备上同步它们。要了解有关Cyclonis Password Manager如何工作的更多信息，请单击此处 。