También ha causado sensación en los medios masivos que no están especializados, la falla de seguridad descubierta en el sistema operativo OSX que ejecuta Apple Mac.
También porque se trata de la última versión de High Sierra, la versión 10.13.1 (17B48) y no las versiones anteriores no actualizadas.
De hecho, cualquiera puede acceder a la computadora simplemente escribiendo «root» en el campo de nombre de usuario, esto es un gran descuido, descubierto entre otras cosas por un investigador independiente y no por controles internos de Apple.
Esta es Lemi Orhan Ergin, quien ha publicado el sorprendente descubrimiento en su perfil de Twitter. Así que no dejes desatendida tu Mac hasta que el problema se resuelva con un parche.
El error es más fácil de acceder yendo a Preferencias y luego insertando uno de los paneles que tiene un candado en la esquina inferior izquierda. Normalmente, haga clic en esto para ingresar su nombre de usuario y contraseña, que son necesarios para cambiar las configuraciones importantes, como las de Seguridad y Privacidad.
¡Pero increíblemente, no hay necesidad de hacerlo! Simplemente ingrese «root» en lugar de su nombre de usuario y presione enter. Entre otras cosas, de esta manera creas una cuenta «raíz» que otros pueden explotar si no la deshabilitas.
Una vez que haya iniciado sesión, prácticamente se autenticará como propietario de la computadora y podrá agregar administradores, cambiar la configuración crítica, bloquear al propietario actual, y así sucesivamente.
Hasta ahora, esto ha funcionado en todos los paneles de preferencias que hemos probado y, cuando utilizamos «raíz» en la pantalla de inicio de sesión, inmediatamente creamos un nuevo usuario con privilegios de administrador del sistema.
Esta es la respuesta de Apple que se ha disculpado públicamente:
«Estamos trabajando en una actualización de software para resolver este problema, mientras que la configuración de una contraseña de root evita el acceso no autorizado a su Mac. Para habilitar al usuario root y establecer una contraseña, siga las instrucciones que figuran a continuación: https : //support.apple.com/en-us/HT204012 Si un usuario raíz ya está habilitado, para asegurarse de que no se establece una contraseña en blanco, siga las instrucciones en la sección «Cambiar la contraseña de root»
El programa de errores de recompensa (bug bounty)
Pocos en Italia son conscientes de que en 2016 Apple lanzó un programa de errores de recompensa que compensa a los que ayudan a encontrar errores y problemas como este:
- Firmware de arranque seguro: $ 200,000
- Extracción de material confidencial protegido por el procesador Secure Enclave: $ 100,000
- Ejecución de código arbitrario con privilegios de kernel: $ 50,000
- Acceso no autorizado a los datos de la cuenta de iCloud en los servidores de Apple: $ 50,000
- Acceso desde un proceso de recinto de seguridad a datos de usuario fuera de ese entorno limitado: $ 25,000
Sin embargo, algunos comentaristas han dicho que Apple simplemente no parece pagar suficientes investigadores por los errores. Motherboard dice que en el mercado actual, compañías como Zerodium compran exploits de investigadores y los ven de sus clientes, ofreciendo $ 1.5 millones por un método «compuesto por múltiples errores que pueden hacer jailbreak al iPhone».
Otra compañía, Exodus Intelligence, ofrece $ 500,000 por hazañas similares.
La resolución del problema
Antes que nada, Apple aconseja configurar una contraseña siguiendo las instrucciones en esta dirección:
https://support.apple.com/en-us/HT204012
Luego lanzó rápidamente un parche que corrige el error en los sistemas MacOS High Sierra (10.13.1) y debería descargarse inmediatamente si no ha configurado las actualizaciones automáticas del sistema.