heise :"Mac OS X schlampt bei Passwörtern "

kurze Frage:

wenn ich mich mit "su" als superuser quasi als root anmelden will und mein Passwort vom Adminaccount eingebe kommt immer sorry. Ist das "su" Passwort per default anders vergeben, oder was mache ich falsch?

Gruß, Guenter
 
Da hast du mich falsch verstanden:
"su AdminName" verwendest du in diesem Zusammenhang, um Administrator zu "werden".
Der Administrator darf dann anschließend "sudo" ausführen.

(Keine Fehler gemacht, IceHouse? ;))



Gruß,

?=?
 
Zuletzt bearbeitet:
OT: OSX-Hochleb-Windows-Bashing

Hi
Ich glaube ja viel, aber das Cracker für M$ arbeiten will ich nicht glauben. Wenn M$ Kompetenz in diesem Bereich braucht, gehen sie entweder in die nächste Universität und gliedern den entsprechenden Lehrstuhl in ihr Unternehmen ein, kaufen eine Firma auf oder Bill lässt sich einen Mac und seine Entwicklungsabteilung bringen und sagt: will haben, genau so. Das dürften einige doch kennen.
;)
Natürlich gibt es bestimmt einige Cracker die für viel Geld in Systeme einbrechen, aber nicht um in den Heise-News zu erscheinen. Die allermeisten Sicherheitslücken in Win wurden lange vor einem Virus/Wurm&Co bekanntgegeben und M$ hat es versäumt die Lücken rechtzeitig zu schliessen. zB Sasser, die iFrame-Geschichte, die jpg-Lücke usw. Die Scriptkiddies schauen dann auf den Seiten der Experten nach, die die Lücke beschrieben und entdeckt haben und vielleicht sogar ein Tool gebaut haben. Dann geht es mit C&P in die nächste email oder in eine html-Seite ins Netz. Die Scriptkiddies sind aber noch nicht mal in der Lage bugfreien Code zu erzeugen, was in diesem Zusammenhang sehr witzig ist, da sie genau das selbst ausnutzen. zB Sasser, in der 1. Version wurde die Datei lsass nicht richtig beschrieben, wodurch der Rechner gleich kurz nach dem Start abstürzte. In der nächsten Version war Sasser dann bugfrei. Weiter kann ich nur wieder auf "Schädlinge auf der Spur" verweisen. Dort wurde die iFrame-Lücke ausgenutzt, der CHM-Bug(Helper) und AchtiveX danach noch etwas VB. O-Ton des Autors zu dem Code:"..Das ist einfach miserabel programmiert..". Jetzt muss man noch fair sein und dazu sagen, das dies alles auf ungepatchten Systemen passiert ist, zB der Patch für Sasser kam 2 Wochen vorher raus M$ hat sich zum schliessen der Lücke aber 9 Monate zeit gelassen. Die Verbreitung von Win hat mit alle dem nichts, absolut nichts zu tun.
Wenn etwas subjektiver Glaube ist, dann das Win unsicher ist, weil es die Nr1 ist und unbedarfte User hat. Apple hat genau so unbedarfte Benutzer und der GAU bleibt aus, aber zB (wieder) Sasser hat gezeigt das die Win-Admins schlicht keine Security-Updates eingespielt haben.
Zu Fat32 kann ich nur sagen, es gibt NTFS und Apple hat(te) auch ein OS ohne Rechteverwaltung.
Jetzt kommt ewas subjektiver Schwarz-Weiss-Glaube: :D
Es ist nicht der Ruf sondern die Technik, die Win schlecht macht: Visual Basic!
Dabei meine ich nicht die Sprache an sich. VB ist überall, ob als Macro für Office, AchtiveX, OS-Erweiterung und Scripting, auf dem Server als ASP COM oder .Net.
Dadurch lassen sich leicht übergreifende Scripte bauen in einer Technik. Dies ist mit Sicherheit ein Vorteil, im Bezug auf Sicherheit aber ein Nachteil. Das war mein Glaube und subjektive Eindrücke zum OSX-Hochleb-Windows-Bashing. :D
 
Zuletzt bearbeitet:
Ist es in der Mac-Community denn nicht möglich, mal über Fehler von Apple zu reden, ohne das die immer gleichen "Windows ist auch nicht besser"-Kommentare kommen? Das interessiert doch keinen! Wir sehen doch glaub ich alle Apple VOR Microsoft, also sollten die sich nicht an denen orientieren.

Dieser Bug ist ein Sicherheitsrisiko und sollte behoben werden. Die Feststellung dieser Tatsache ist kein Aufruf alle Macs auf der Straße zu verbrennen und sich bei Dell was neues zu holen.
 
minilux schrieb:
sorry, bin leider erst jetzt wieder hier, und was les ich dann??
Das hier:

... zitat von mir...

is ja auch kein Wunder, einen Admin sollte so ein System schon haben, oder?
Zum Vergrößern anklicken....
Jupp, das schon. Allerdings wird dieser Admin als StandardUser eingesetzt. Man kann dann natürlich andere User nachträglich eintragen und damit arbeiten.
Unter Linux musst Du z.B. nur das Root-Passwort eingeben. Danach erzeugst Du den eigentlichen Nutzer. Also erst gar kein Name für root, weil der ist nicht zum arbeiten gedacht.
 
Sym schrieb:
Jupp, das schon. Allerdings wird dieser Admin als StandardUser eingesetzt. Man kann dann natürlich andere User nachträglich eintragen und damit arbeiten.
Unter Linux musst Du z.B. nur das Root-Passwort eingeben. Danach erzeugst Du den eigentlichen Nutzer. Also erst gar kein Name für root, weil der ist nicht zum arbeiten gedacht.
Zum Vergrößern anklicken....

dir ist aber schon klar, dass der osx admin nicht dem linux root entspricht, sondern wohl eher einem standarduser?

/leider klappt bei mir dieser *bug* immer noch nicht und ich erhalte keine passwortausgabe im klartext. :eek: /
 
Herrlicher Thread! :)
Wenn man sich darüber bewußt ist, dass es das Thema schonmal vor Äonen hier gab und besprochen wurde, braucht man nichtmal selber tippen, um zu sagen, was man möchte. :D

Agmemon @ FileVault ist unsicher schrieb:
1) Mal soeben einen Patch schreiben, daß die Swap-Files verschlüsselt abgelegt werden, kann man eigentlich vergessen. Swapping greift recht tief ins System ein, und ohne Performance-Verlust läßt sich da nichts mal aus die schnelle machen.

2) Definitiv ein Sicherheitsrisiko liegt vor, wenn man seinen Mac nicht richtig vor dem Zugriff von aussen schützt, während das gute Stück läuft. Denn dann kann der Fehler unter umständen wirklich ausgenutzt werden.

3) Wird der Rechner wirklich geklaut, kann man so und so nichts mehr machen. Es gibt so viele Wege dann an die Daten ranzukommen, mit gar nicht mal so großem Aufwand.

Ich habe solch eine Erfahrung in der Hochschule machen dürfen. Aufgabenstellung war, einen Password-Knacker zu schreiben, der auf Basis einer Wörterbuch-Attacke operiert. Getestet haben wir das Programm im Linux-Cluster anhand der Login-Passwörter in den yellow pages. Innerhalb einer Stunde hatte ich Zugriff auf 20 von ca. 800 Accounts, und das mit einfachen Wörtbuchdateien. Durch den zusätzlichen Einsatz von genetischen Algorithmen lassen sich so auch die berühmten Passwörter, die angeblich nicht in Wörterbüchern zu finden sind und Ziffern und Sonderzeichen enthalten, relativ leicht knacken.

Unter Windows ist es ebenso leicht: das Administrator-Passwort, das bei der Installation angegeben wird und zu 99,5% nicht mehr geändert wird, wird in einer Datei im System32-Verzeichnis abgelegt. Mit dem richtigen Tool ist es eine Sache von zwei bis drei tagen und man hat administrativen Zugriff auf die Machine.

Diese Liste läßt sich unendlich weiterführen. Wer glaubt, daß es ein System gibt, daß ihm selbst bei Diebstahl 100% Schutz liefert ist wirklich naiv. Selbst das zur Zeit sicherste BS OpenBSD schafft das nicht.

Nicht desto trotz muß Apple wegen dem Klartextpasswort was machen. Aber es ist kein Grund in Panik zu verfallen oder Apple zu verteufeln. Wenn ich mir die letzten Sicherheits-Audits für M$-Produkte ansehe, ist das Passwort Problem in Mac OS echt Kinderkram.
Zum Vergrößern anklicken....
Quelle: FileVault ist unsicher
 
HansZarkow schrieb:
Ist es in der Mac-Community denn nicht möglich, mal über Fehler von Apple zu reden, ohne das die immer gleichen "Windows ist auch nicht besser"-Kommentare kommen? Das interessiert doch keinen! Wir sehen doch glaub ich alle Apple VOR Microsoft, also sollten die sich nicht an denen orientieren.
Zum Vergrößern anklicken....

Hi
Sry für das OT, aber es geht dabei nicht um das "VOR" sondern auch um das wie und was ;) ... und das kann für Apple auch irgendwann interessant werden.

HansZarkow schrieb:
Dieser Bug ist ein Sicherheitsrisiko und sollte behoben werden. Die Feststellung dieser Tatsache ist kein Aufruf alle Macs auf der Straße zu verbrennen und sich bei Dell was neues zu holen.
Zum Vergrößern anklicken....

Für Single-User ohne Verschlüsselung bleibt es ein Bug. Single-User mit Verschlüsselung sollten ihre Rechner nicht klauen lassen, dann ist es auch nur ein Bug.
Im Multiuser-Betrieb ohne Verschlüsselung zB in Rechner-Pools an Unis ist es ein kleines Sicherheitsrisiko, da die Rechner oft nur in den Sleep gehen und nicht ausgeschaltet werden. Im Rechner-Pool einer Uni wird wohl kaum FileVault aktivierbar sein. Die Admins gegenseitig die PW's klauen können.
Im Betrieb werden die Rechner auch oft nicht ausgeschaltet und dort wird vielleicht der Chef (oder andere) mit FileVault arbeiten. Da bleibt nur der Rat dem Admin auf sein Weihnachtsgeld noch ein Nicht-Swap-Lese-Bonus zu zahlen :D
 
Huch, mal wieder ein feiner Fred :D

Ich fasse mal für mich persönlich zusammen:

- der Fehler ist schon Monate bekannt

- wenn ich Adminrechte auf meinem Mac habe, kann ich mein Admin Passwort auslesen. Das klingt spannend.

- habe ich etwas vergessen?
 
Darum geht es ja nicht.
Wenn du z.B. ein PowerBook hast und es wir dir im StandBy oder im laufenden Betrieb geklaut, kommt man so an dein Passwort. Einfach Rechner hart ausschalten, Platte ausbauen. Anderen Rechner nehmen, Admin-Passwort aus Swapfile lesen. Platte einbauen, Passwort eingeben->fertig.
Zum Vergrößern anklicken....

Wow - dann kennt er das Passwort zu dem Rechner, den er mir geklaut hat. Ist das irgendein Nachteil für mich?
Oh ja, er könnte eMails unter meinem Namen verschicken. Da ich natürlich sobald wie möglich das Passwort zu meinem Mail-Konto ändern würde, hätte er davon allerdings auch nicht viel...
 
Shetty schrieb:
Wow - dann kennt er das Passwort zu dem Rechner, den er mir geklaut hat. Ist das irgendein Nachteil für mich?
Oh ja, er könnte eMails unter meinem Namen verschicken. Da ich natürlich sobald wie möglich das Passwort zu meinem Mail-Konto ändern würde, hätte er davon allerdings auch nicht viel...
Zum Vergrößern anklicken....

Es geht ja dabei nicht um dich. Du bist nicht alleine auf der Welt...

Einige haben wichtigen Firmen-Daten, etc. auf dem Rechner...
 
Ja und? Wenn ein Dieb meine Swapfiles lesen kann, hat er root-Rechte. Root darf sowieso alles, auch ohne mein Passwort.
 
Ideal sind unverschlüsselte swapfiles (bzw genauer gesagt: unverschlüsselte Passwörter in swapfiles) sicher nicht.
Auf der anderen Seite ist es so, dass nur root Leserechte auf das/die swapfile/s hat.
 
@Shetty: Nur dass root ohne das FileVault-Passwort (bzw- FileVault-Masterpasswort) nicht an deine verschlüsselten Daten rankommt. Weil Verschlüsselt ist verschlüsselt, da schaut selbst root in die Röhre.

Edit: Sorry, habs grad gelesen. Wenn er die Swapfiles hat, dann kann er ja logischerweise die FileVault-Passwörter da raus-grep´pen. Ist aber auch blöde... ;)

Ciao,
Stefan
 
Zuletzt bearbeitet:
Hmmm... ginge folgender Workaround: Die Swap-Files per NetInfo-Manager in ein verschlüsseltes (gemountetes) Disk Image verschieben? Sobald der Strom weg ist, ist auch das Image wieder geschlossen. Und auch wenn Du die Platte ausbaust, das Rootpasswort kennst, kannst Du nix greppen, weil die Swaps im DMG liegen, das Du nicht mounten kannst, ohne das richtige Passwort. Wo ist mein Denkfehler?

Ciao,
Stefan
 
noch ein Wort zum Versenden von e-mails unter fremdem Namen.
Man kann ohnehin emails unter beliebigen fremden Namen versenden. Dazu muss man keine swapfiles knacken.
 
Ha ha, soviele Seiten, nur um einen theoretisch möglichen Fall zu diskutieren. Praktisch ist wohl niemand hier betroffen, mich juckt die Angelegenheit weniger als ein 100% Baumwollshirt.

Nerviger sind in meinen Augen die alltäglichen, weniger technisch ausgefeilten Betrügereien, wie das Knacken von Ebayaccounts, Erschleichen von eBanking PINs etc. Sowas passiert meist systemunabhängig ... Bis die Tage!
 
Entschuldigung, wenn ich platze, aber einige hier stellen sich echt blöd an. Apple ist ja sooo toll und macht nix falsch, Windows ist viel schlimmer. Der eigene Kropf fällt nicht auf, wenn 95% der anderen einen Buckel haben, ja?

Folgender Fall: Ich nehme mein PB mit in die Bibliothek, gehe Kaffee trinken. Oder ich sitze im Zug, und gehe pinkeln oder schlafe ein, ohne meinen Kopf auf das PB zu betten. Soll es alles geben. Jedenfalls ist es weg. Und zumindest in der Bibliothek im Ruhezustand.
So, wenn ich jetzt wichtigere Dinge auf dem PB habe als den letzte Nacht runtergeladenen Pornofilm, dann kann ich schon ganz schön blöd aus der Wäsche gucken. Das würde ich unter Windows auch. Klar. Aber Microsoft bewirbt Win ja auch nicht als Hochsicherheitssafe für die Daten. Das tut Apple. Von daher ist dieser ungefixte Bug echt eine Frechheit, zumal wenn ich als typischer Apple-Anwender mir wenig Gedanken mache (jaja, klar, so sollte es nicht sein, aber auch da tut Apple ja alles, damit die User so denken) und mein PB wie beworben im Ruhezustand mit mir rumtrage. So, ich würde nie Windows benutzen, habe vorher Linux benutzt (sechs Jahre lang) und habe nun glücklicherweise einen Apple. Ich mag ihn und würde ihn nicht hergeben, aber trotzdem bleibt Apples Verhalten hier absolut verantwortungslos. Now please, flame on!
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten