Apples säkerhetsforskare Detaljer om nyckelringsfelet

Linus Henze informerade Apple om alla detaljer angående en bugg som han upptäckt i säkerhetsmjukvaran macOS Keychain och gjorde det utan betalning från företaget. Tidigare gömde han denna information för att protestera mot företagets brist på Bug Bounty för Mac, men säger nu att frågan är för viktig för att hålla för sig själv.

Den tyske tonåringen Linus Henze skickade Apple alla detaljer om en nyckelring-säkerhetsexploatering som han demonstrerade i början av februari och gjorde det trots att företaget ignorerade hans tidigare villkor. Henze sa att han bestämde sig för att avslöja detaljerna för Apple eftersom felet han hittade var “mycket allvarligt och för att säkerheten för macOS-användare är viktig för mig.”

Jag bestämde mig för att skicka in min nyckelring till @Apple, även om de inte reagerar, eftersom detta är väldigt viktigt och för att säkerheten för macOS-användare är viktig för mig. Jag skickade dem alla detaljer inklusive patchen. Gratis såklart.

18-åringen upptäckte en macOS-bugg som kunde tillåta appar att se lösenord som finns i Mojaves nyckelring-säkerhetsfunktion. Han utvecklade en app som han kallade KeySteal för att demonstrera den, men vägrade först att meddela Apple. Henze invände mot det faktum att Apple inte har ett Bug Bounty-program för macOS som det har för iOS.

“Jag är redo att omedelbart skicka dig alla detaljer – inklusive patchen,” sa han i ett e-postmeddelande till företaget i februari. 5. “Om en Apple-tjänsteman på uppdrag av mig skickar mig ett stort uttalande Förklara (och logiskt!) varför Apple varken har eller vill skapa ett Bug Bounty-program för macOS. “

Apple tog kontakt med Henze för att fråga om hans upptäckt, men diskuterade inte hans påstående. I februari. 8, mailade han igen och angav sitt tillstånd igen, men verkade inte få något svar.

Det har inte förekommit några rapporter om utnyttjande av skadliga appar, men AppleInsider förklarar att de inblandade användarna kan garantera sin säkerhet genom att lägga till ett extra lösenord till inloggningsnyckelringen.

Medan Apple har ett Bug Bounty-program för forskare att hitta säkerhetsproblem i iOS, kallas det till och med snålt jämfört med andra företag.

Källa: appleinsider