ผู้เชี่ยวชาญด้านความปลอดภัยพบวิธีทะลวงผ่านระบบป้องกัน Gatekeeper ของ macOS

Filippo Cavallarin ผู้เชี่ยวชาญด้านความปลอดภัย และวิศวกรซอฟต์แวร์ได้เปิดเผยถึงการค้นพบช่องโหว่อันตรายบน macOS ซึ่งส่งผลกระทบแม้แต่บน macOS Mojave 10.14.5 ที่ Apple เพิ่งปล่อยออกมาเมื่อสัปดาห์ที่ผ่านมา

ช่องโหว่ดังกล่าวอนุญาตผู้โจมตีสามารถทะลวงผ่าน (Bypass) ระบบ Gatekeepr เพื่อติดตั้งมัลแวร์ลงในเครื่องเป้าหมายได้โดยไม่ต้องขออนุญาตผู้ใช้

Gatekeeper คือ อะไร?

macOS มีเทคโนโลยีที่ชื่อว่า Gatekeeper ซึ่งถูกออกแบบมาเพื่อให้แน่ใจว่าเฉพาะซอฟต์แวร์ที่น่าเชื่อถือเท่านั้นที่สามารถทำงานบน Mac ได้

แหล่งที่ปลอดภัยที่สุดในการรับแอปฯ สำหรับ Mac คือ App Store Apple จะตรวจสอบแต่ละแอปฯ ใน App Store ก่อนทำการยอมรับ และยืนยันว่าแอปฯ ไม่ได้ถูกดัดแปลงหรือปรับเปลี่ยน หากมีปัญหาเกิดขึ้นกับแอปฯ Apple สามารถนำแอปฯ นั้นออกจากร้านได้อย่างรวดเร็ว

หากคุณดาวน์โหลดและติดตั้งแอปฯ จากอินเทอร์เน็ตหรือจากนักพัฒนาแอปฯ โดยตรง macOS จะปกป้อง Mac ของคุณอย่างต่อเนื่อง เมื่อคุณติดตั้งแอปฯ ปลั๊กอิน และชุดโปรแกรมตัวติดตั้งของ Mac จากแหล่งภายนอก App Store macOS จะตรวจสอบลายเซ็น ID ของนักพัฒนาและสถานะการรับรองเพื่อยืนยันว่าซอฟต์แวร์นั้นมาจากนักพัฒนาที่ระบุและไม่มีการเปลี่ยนแปลงใดๆ

ที่มา : https://support.apple.com/th-th/HT202491

Gatekeeper เป็นระบบป้องกันของ macOS มาตั้งแต่ปี 2012 ที่ช่วยป้องกันการติดไวรัส, มัลแวร์ ที่มาจากการติดตั้งแอปฯ ต่างๆ ด้วยการตรวจสอบที่มาของแอปฯ ว่าตรงกับข้อมูลในเซิร์ฟเวอร์ของ Apple ซึ่งผู้ใช้จะสามารถตัดสินใจได้ว่ายืนยันที่จะติดตั้งมันลงในเครื่องหรือไม่

ซึ่งช่องโหว่ที่ Filippo Cavallarin ค้นพบ ได้อาศัยประโยชน์จากการที่ Gatekeeper นั้นมีเกณฑ์ในการตัดสินใจว่าข้อมูลจากไดร์ฟภายนอก และไดร์ฟในเครือข่าย เป็นแหล่งข้อมูลที่ปลอดภัย

ด้วยการสร้างไฟล์ .ZIP ที่มีคำสั่ง Automount endpoint ตัวอย่างเช่น Documents -> /net/evil.com/Documents แล้วส่งไปให้เหยื่อ หากเหยื่อดาวน์โหลด และแตกไฟล์ออกมา มัลแวร์ก็จะติดตั้งลงในเครื่องทันที โดยที่ผู้ใช้ไม่ได้รับการแจ้งเตือนจาก Gatekeeper สามารถดูวิดีโอสาธิตการโจมตีได้จากด้านล่างนี้

Filippo Cavallarin ได้ส่งรายงานข้อมูลช่องโหว่นี้ให้ Apple ตั้งแต่ 22 กุมภาพันธ์ 2019 ซึ่งทาง Apple ได้ตอบกลับว่าจะแก้ไขภายในวันที่ 15 พฤษภาคม 2019 (ภายใน 90 วัน หลังจากได้รับรายงาน) อย่างไรก็ตาม Apple ดูเหมือนจะลืมมันไป และช่องโหว่ยังคงปรากฏใน macOS 10.14.5 ที่เพิ่งปล่อยออกมา (เลย 90 วันมาแล้ว) Cavallarin เลยตัดสินใจเผยแพร่ช่องโหว่นี้สู่สาธารณะ (คาดว่าเพื่อกดดันให้ Apple รีบปิดช่องโหว่)

ในตอนนี้ยังไม่มีทางแก้ไขช่องโหว่ดังกล่าว แต่สามารถป้องกันด้วยการปิดคุณสมบัติ Automount บน Mac ของคุณเอาไว้ก่อน จนกว่า Apple จะทำการอัปเดตปิดช่องโหว่นี้ รวมถึงอย่าแตกไฟล์ .ZIP ที่ได้มาจากแหล่งที่ไม่มีความน่าเชื่อถือ