Ernstige bug: root-gebruiker macOS High Sierra niet beveiligd [update]

Iedere computer heeft een ‘root’. Dit is de gebruiker die alles mag en kan aanpassen. Daar wil je dus een sterk wachtwoord op hebben of beter nog: die gebruiker hoort uitgeschakeld te zijn. En dat is precies wat Apple in macOS High Sierra heeft verzuimd.

Dat ontdekte ontwikkelaar Lemi Orhan Ergin‏. Hij deelde dit op Twitter en dat wil zeggen dat macOS High Sierra nu een gapend gat heeft waar malware gebruik van kan maken. Neem nu maatregelen. Uitleg verderop.

Update: Reactie Apple onderaan artikel.

Root-gebruiker staat open

Een Mac vraagt bij ingrijpende wijzigingen, zoals het aanmaken van gebruikers, wijzigen van wachtwoorden en aanpassen van instellingen altijd om het wachtwoord van een beheerder. Meestal ben je zelf beheerder, en kun je een wijziging met jouw wachtwoord bevestigen.

In macOS High Sierra kun je bij aan van je wachtwoord, kun je ook bij gebruiker ‘root’ invullen en het veld voor een wachtwoord leeg laten. De instelling wordt na twee keer bevestigen gewoon doorgevoerd. De root-gebruiker is standaard uitgeschakeld, maar door het bevestigen van een wijziging als root, wordt de gebruiker geactiveerd. High Sierra heeft geen optie om root permanent uit te schakelen. Hierdoor kan software -inclusief malware- wijzingen doorvoeren zonder naar je wachtwoord te vragen.

Wij kunnen bevestigen dat deze zwakheid zowel met de laatste publieke beta van macOS 10.13.2 High Sierra als de stabiele versie 10.13.1 aanwezig is. MacOS 10.12 Sierra is standaard wel veilig.

Neem nu maatregelen: geef root een wachtwoord

Om te voorkomen dat je Mac een doelwit voor malware wordt, kun je de root-gebruiker een wachtwoord geven. Uitschakelen heeft geen zin, omdat het account steeds weer wordt ingeschakeld als je een actie als root probeert te bevestigen.

1. Kies het Apple-menu () > ‘Systeemvoorkeuren’ en klik op ‘Gebruikers en groepen’ (of ‘Accounts’).
2. Klik op het slotje en voer daarna de naam en het wachtwoord van een beheerder in.
3. Klik op ‘Inlogopties’.
4. Klik op ‘Verbind’ (of ‘Wijzig’) bij netwerkaccountserver onderaan.
5. Klik op ‘Open Adreslijsthulpprogramma’.
6. Klik op het slotje in het venster ‘Adreslijsthulpprogramma’ en voer de naam en het wachtwoord van een beheerdersaccount in.
7. In de menubalk van Adreslijsthulpprogramma: ‘Wijzig’ > ‘Wijzig rootwachtwoord’

Wij adviseren om het rootwachtwoord gelijk aan dat van je gebruikersaccount te maken, het mag echter ook iets anders zijn. In principe heb je de root-gebruiker nooit nodig.

Dit is helaas niet de eerste beschamende beveiligingsbug waar Apple mee te maken heeft. In een eerdere versie van macOS High Sierra werd het wachtwoord van harde schijven die met het Apple File System (APFS) versleuteld zijn namelijk getoond als je om een wachtwoord-hint vroeg. Aan de andere kant heeft de ontwikkelaar die dit probleem ontdekte er geen goed aan gedaan om het direct op Twitter te zetten. Het was beter geweest om Apple via e-mail op de hoogte te stellen.

Dit artikel meldde eerst dat het uitschakelen van de root-gebruiker een goede maatregel was. OMT-lezer Robert-Jan wees ons er echter op dat de root-gebruiker bij de eerstvolgende inlogpoging weer ingeschakeld wordt. Dank voor de tip!

Update: Reactie Apple

Apple heeft inmiddels ook gereageerd en zegt aan een update te werken:

We are working on a software update to address this issue. In the meantime, setting a root password prevents unauthorized access to your Mac. To enable the Root User and set a password, please follow the instructions here: https://support.apple.com/nl-nl/HT204012. If a Root User is already enabled, to ensure a blank password is not set, please follow the instructions from the ‘Change the root password’ section.

Onderwerpen

• Mac
• macOS