¿Qué tan seguro es Keychain en OS X?

Navega tus respuestas
19

Keychain es una aplicación incorporada en OS X que almacena todas las credenciales de usuario y permite mantener notas cifradas de manera fácilmente accesible.

¿Alguien sabe qué tan seguro es Keychain? Sé que hubo una vulnerabilidad en 2008 con el texto claro almacenado en la memoria, pero fue parcheado. ¿Qué tan resistente puede ser a los ataques de arranque en frío ?

Aquí hay algunos enlaces relevantes de SE:

Creo que esto es importante ya que las aplicaciones escritas para OS X están comenzando a almacenar todas las contraseñas en el llavero del usuario: safari, chrome, subversion, Mail, etc.

    
pregunta rox0r 23.11.2010 - 15:19
fuente

2 respuestas

12

El ataque de arranque en frío se puede limitar configurando una contraseña EFI, de modo que el atacante no pueda acceder a la memoria durante el tiempo limitado después de un reinicio. Tenga en cuenta que si se configura la contraseña del firmware, el controlador del dispositivo FireWire no permite las solicitudes de DMA, que es otro ataque muy similar (y lo más probable es que tenga una OMI).

El lugar clave donde la contraseña debe considerarse "en riesgo" de cualquier ataque de acceso directo a la memoria, incluido el arranque en frío, no está en securityd , lo que hace un trabajo bastante bueno (todo el código relevante es fuente abierta, así que compruebe usted mismo ), está en la aplicación cliente. Es la aplicación cliente la que desea la contraseña, y es posible que el proveedor no haya tenido cuidado de poner a cero la memoria (especialmente si la contraseña se coloca en una instancia NSString recolectada automáticamente o con recolección de basura).

(Escribí un capítulo completo sobre la seguridad de Keychain en Seguridad profesional de la aplicación Cocoa )

    
respondido por el user185 23.11.2010 - 16:44
fuente
3

Supongo que esto responde a mi pregunta: Keychaindump

El usuario raíz puede usar esto para extraer entradas descifradas de la RAM.

    
respondido por el rox0r 05.09.2012 - 20:28
fuente

Lea otras preguntas en las etiquetas

¿Cómo razonaría y trabajaría con el paranoico de seguridad en su equipo? Recomendaciones para una herramienta de gestión de certificados para Linux [cerrado]