Se está hablando mucho estos días del bug y el cambio de passwords en Lion tal y como podemos leer en Ontinet y nos han llegado varias consultas sobre cómo actuar hasta que Apple publique una actualización que lo solvente.
Aclaramos en el título lo de «un ataque local», ya que se requiere acceso físico a la máquina para poder llegar a efectuar dicho ataque con sólo tipear el siguiente comando en el terminal; dscl localhost -passwd /Search/Users/NombreUsuario.
Esta vulnerabilidad / debilidad en la gestión de las contraseñas de Mac OS X no es nueva tal y como nos recuerdan desde Genbeta (donde también se dan buenos consejos), ahora, con el lanzamiento de Lion, vuelve a estar de actualidad y es lógica la preocupación de los usuarios de OS X frente a un ataque de este tipo.
Realmente no es algo tan complejo de paliar y obviamente, ayuda que sea un ataque para el que se necesite estar frente al equipo caso de querer efectuarlo. También en LifeHacker (ENG) un usuario ha preguntado lo mismo y vamos a dar un repaso a las medidas a poner en práctica.
Desde el terminal;
- Desactivar los permisos de dscl (como root) tipeando; chmod 100 /usr/bin/dscl
Desde Preferencias del Sistema – Seguridad;
- #Nota. Puedes ver esta imagen de LifeHacker para ver mejor los cambios
- Desactiva el inicio de sesión automático.
- Activa la opción «solicitar password inmediatamente» cuando se active el salvapantallas o la suspensión.
- (Sobre este punto comentar que en Preferencias- Energía podéis bajar el tiempo de esos valores, recomendable).
- Solicitar la contraseña de administrador para desbloquear cualquier preferencia del sistema bloqueada.
- No olvides bloquear el candado en la zona inf izquierda.
Desde Preferencias del Sistema – Usuarios y grupos;
- Desactivar la cuenta de invitado
- (También recomendable en «compartir» desactivar el acceso a carpetas compartidas)
Ahora sólo es cuestión de esperar y ver el «tiempo de respuesta» por parte de Apple para parchear este agujero de seguridad.
