Apples senaste uppdatering, macOS High Sierra, innehåller en sårbarhet som gör det möjligt att logga in i på root-kontot utan lösenord. Root-kontot är en priviligierad användare som beviljas full access till datorn, vilket gör sårbarheten extra allvarlig.
Buggen kan utnyttjas genom att ange ”root” som användare, markera inloggningsrutan (men lämna den tom), och klicka på ”login”. Det tomma lösenordet accepteras inte på första försöket, men genom att klicka upprepade gånger släpps man så småningom in, vilket en turkisk utvecklare upptäckte som också rapporterade om sårbarheten på Twitter. Den som vill komma åt root-kontot måste dock ha fysisk åtkomst till datorn som även måste vara i olåst läge, alternativt ha exponerat inloggningen via VNC.
Så skyddar du dig
Apple rekommenderar sina användare att hålla sina datorer under strikt uppsikt tills de har löst problemet. Men i väntan på en ny patch kan du som mac-användare mitigera sårbarheten genom att aktivera ditt root-konto och lägga till ett lösenord. Det gör du genom att:
1. Gå till Apple-menyn, klicka på System Preferences och vidare till Users & Groups eller Accounts.
2. Klicka på hänglåset i vänstra hörnet och fyll i dina inloggningsuppgifter.
3. Klicka på Login Options, sedan vidare till Join eller Edit.
4. Klicka på Directory Utility-fönstret och sedan på hänglåset. Fyll i dina inloggningsuppgifter.
5. Gå till Director Utility-menyn och välj Edit > Enable Root User
6. Välj lösenord, helst ett långt och svårt.
Skapa ett bra lösenord snabbt
Om du inte vill eller kan hitta på ett svårt lösenord till ditt root-konto själv, är en smidig lösning att skapa ett slumpat genom att:
1. Klicka på Command-space och sök på ”Terminal”.
2. Klicka in på terminalen och kopiera in koden; cat /dev/urandom | env LC_CTYPE=C tr -dc a-zA-Z0-9 | head \
-c 60 | xargs -I rootpw sudo dscl . -passwd /Users/root rootpw
3. Klicka Enter, fyll i ditt vanliga användarlösenord och klicka Enter igen.
Alltså: Command-space -> "Terminal" [enter] -> copy paste ovanstående kod
[enter] -> skriv ditt *vanliga* lösenord -> klart.
Edit: Ny säkerhetsuppdatering har släppts
Apple har nu släppt en ny säkerhetsuppdatering där säkerhetshålet ska ha tätats till. Se till att uppdatera din mac!