Open gates pua mac os

Стоит специалистам обнаружить в системе — неважно какой платформы — уязвимость или новую технику атаки, как рядовые пользователи тут же попадают под массированный пресс со стороны СМИ, разработчиков антивирусных решенией и самих злоумышленников, которые вместе раздувают проблему до вселенских масштабов. С продуктами Apple это справедливо вдвойне, так как разработчики получают шанс «впарить» пользователю продукт, не вызывающего у того никакого интереса, СМИ всегда рады подковырнуть Купертино, а злоумышленники делают себе репутацию на популярности Apple.

В этом шторме информации простым пользователям зачастую сложно отделить зерна от плевел, определить реальный риск от угрозы и принять соответствующие действия.

Все это мы наблюдаем непосредственно в данный момент, когда за последнюю неделю в Сети появилась информация о трех новых «троянах» для Mac OS X. Все началось в конце прошлой недели, когда появились первые сообщения об уязвимости в компоненте Mac OS X ARDAgent. Чуть позднее появились сведения и первом «трояне» данного типа под названием AppleScript.THT. Моментом тут же воспользовались разработчики антивирусов, быстро растиражировавшие проблему и тут же предлагая купить соответствующие средства защиты. История начала обрастать слухами и небылицами, новыми историями и т.д. Но каков реальный риск для рядовых пользователей?

Хорошие новости заключаются в том, что по природе этой уязвимости, степень риска достаточно низка. Есть и плохая новость. Теоретически, в будущем атаки могут стать более изощренными и серьезными. Как обычно, Apple следует предпринимать меры как можно быстрее.

Вернемся к уязвимости. Она относится к тому классу, который мы называем «локальный перехват прав доступа». Через нее пользователь системы может повысить свои права доступа до уровня администратора «root», а это означает полый контроль над системой. Таким образом, даже если вы работаете на компьютере под правами рядового пользователя, через эту язвимость статус можно поднять до администраторского и обойти все запреты и ограничения. В нашем случае, проблема обнаружилась в агентской программе Apple Remote Desktop (ARDAgent), которая использует технику SUID для выполнения определенных операций от лица root-администратора. Надо сказать, это распространенная техника среди Unix-систем и она временами действительно становится источником определенных неприятностей. ARDAgent поддерживает исполнение сценариев AppleScript, которые, в свою очередь, могут оперировать Терминальными командами, запуская таким образом другие программы, и делать это от лица администратора компьютера, не спрашивая его пароля. Вот простой пример. Выполните в Терминале следующую простую команду:

osascript -e ‘tell app «ARDAgent» to do shell script «reallybadstuff»‘

У вас система спросила пароль? Нет, но при этом попыталась запустить программу «reallybadstuff» от лица администратора.

Когда в Сети только появилась информация об этой уязвимости, мы особо не волновались. Злоумышленник, чтобы использовать ее, все еще должен сначала получить доступ к системе, что не такая уж и простая задача. Перехват прав доступа обычно используется в двух ситуациях. Если кто-то имеет физический или удаленный доступ к компьютеру. Они тогда берут себе права администратора и устанавливают тот софт, который пожелают.

Вторая ситуация серьезнее. Атакующий сначала использует брешь в системе для того, чтобы получить доступ к учетной записи пользователя на машине, а затем перехватывает права администратора и устанавливает все, что взбредет в его голову. Именно такие двухходовые атаки наиболее и распространены, хотя на Маках реальных примеров взлома мы так и не видели. Чаще всего злодеи «заходят» в систему через уязвимость в Web-броузере (так проще всего), затем перехватывают права доступа и вот уже на невидимом автобусе заезжают к вам в офис или домой. Вот этот автобус мы и называем «трояном».

Другими словами, «трояны» не являются вирусами или «червями». Они не взламывают вашу систему, а аккуратно устанавливают по настоящему опасный софт.

Первым «трояном», который использует уязвимость в ARDAgent, стала утилита PokerStealer (обнаруженная Intego). Она маскируется под карточную игру «Покер», но после запуска перехватывает права и устанавливает программу для записи всего всего, что вы набираете на компьютере.

Пару дней назад Washington Post сообщил о более серьезной модификации. Некто разработал инструмент, позволяющий в такой «троян» превратить любое Мак-приложение. Причем интересно, согласно этой статье выходит, что данная «среда разработки» была создана еще в мае. Сколько за это время по Сети разошлось «зараженных» программ — об этом пока не хочется даже думать.

Читайте также: Autocad под mac os

До тех пор, пока Apple не выпустила соответствующий апдейт, есть два способа защиты своего компьютера. Во-первых, вы можете изменить права доступа к самому агенту ARDAgent. Для этого в Терминале надо выполнить всего лишь одну команду:

sudo chmod -R u-s /System/Library/CoreServices/RemoteManagement/ARDAgent.app

Во-вторых, если вы не используете Apple Remote Desktop, то злополучный агент можно временно отключить. практически, топором. Идите в папку /System/Library/CoreServices/RemoteManagement/, скопируйте ARDAgent.app на Рабочий стол, а оригинал смело удаляйте. Файлик на Рабочем столе теперь архивируем и убираем куда-нибудь подальше до лучших времен. Как только он понадобится — разархивируйте его и положите в исходную папку.

Заключение. Мы стараемся не писать статьи подобного плана, так как не хотим привлекать к таким проблемам больше внимания, чем они того стоят. Сейчас же мы изменили своей традиции всего лишь по одной причине. Проблема, на самом деле, не так серьезна, как ее хотят некоторые показать. Но с ростом популярности коммуникаторов iPhone и платформы Apple в целом, не исключено появление более серьезных уязвимостей и проблем. Лучше сейчас приучать себя к тому, что не надо скачивать софт из незнакомых ресурсов (включая незнакомые торренты). Безопасность стоит того, чтобы ей уделять чуточку больше внимания. А прятать голову в песок. От этого проблема не исчезнет. Хотя и не станет больше, чем она есть на самом деле.

Перепечатка и/или какое-либо иное воспроизведение материалов сайта в сторонних источниках информации без письменного разрешения DeepArtment категорически запрещены.

Источник

Установка приложений. macOS Gatekeeper

Начиная с macOS Sierra (10.12), разработчики macOS ограничили пользователя в возможности установки программ из непроверенных источников. Это имеет свои плюсы, в качестве “защиты от дурака” для неопытных рядовых пользователей. Но существует множество причин, по которым пользователям такая возможность нужна. Для того, чтобы вернуть себе это право, нужно сделать несколько нехитрых шагов. Об этом и пойдет речь далее.

Для начала, при открытии новой программы, попробуйте следовать вот этой инструкции. Если не помогло, читайте дальше.

Средство защиты macOS — Gatekeeper

Как говорит Apple, некоторые программы, загруженные и установленные из Интернета, могут отрицательно влиять на работу Mac. Функция Gatekeeper (привратник, постовой у ворот) помогает защитить компьютер Mac от таких программ.

На самом деле это именно так. Даже если нужное Вам ПО получено Вами не из Mac App Store, оно должно быть подписано действующей цифровой подписью разработчика. Как правило такая подпись есть у каждой популярной программы от именитых разработчиков. Но многие программисты или сообщества, которые адаптируют свободно распространяемое ПО для Mac, не имеют возможности или желания платить Apple за такой сертификат разработчика. Что, кстати, не делает их продукт хуже от этого. В любом случае, будьте внимательны к тому, что устанавливаете, почитайте отзывы, если не уверены. “Цифровой сифилис” (всяких “зловредов”) можно и на Mac отхватить… Если уверены — читайте дальше.

Как включить или выключить MacOS Gatekeeper?

Для того, чтобы в macOS вернуть возможность установки программ из «Любого источника», необходимо выполнить следующую команду в Терминале:

При использовании команды sudo (выполнить инструкции с привилегиями суперпользователя), Вас попросят ввести пароль администратора для подтверждения своих полномочий в системе. После выполнения этой команды, в Системных настройках в разделе «Защита и безопасность», снова будет доступен выбор «Разрешить использование программ, загруженных из: Любого источника».

Рекомендую использовать настройку “App Store и от установленных разработчиков.” И лишь на время установки нужных программ использовать настройку “Любого источника.” Установили, запустили программу и затем вернули настройку Gatekeeper в прежнее положение.

Восстановить настройки Gatekeeper по умолчанию (скрыть возможность установки из “Любого источника“)можно выполнить введя в Терминале команду:

После этого, пункт «Любого источника» исчезнет.

Также, Вы можете посмотреть статус (вкл/выкл) этой функции в текущий момент:

Управление Gatekeeper

Список одобренных программ в системе

macOS не имеет элементов графического интерфейса для того, чтобы посмотреть список программ, явно одобренных для запуска. Но это не означает что такой список не возможно получить из командной строки. Следующей командой можно вывести список программ явно одобренных Gatekeeper’ом для запуска:

Если просмотреть список программ, на выводе этой команды, то можно увидеть, что программы явно одобренные пользователем, перечислены внизу с меткой UNLABELED. Таким образом, можно уточнить эту команду, для того, чтобы увидеть именно те приложения, которые одобрены пользователем. То есть отфильтровать только то, что интересно:

Также, следующей командой, можно выяснить одобрено ли конкретное приложение или нет:

Если приложение не одобрено, Вы увидите сообщение с текстом “/Applications/NameOfTheApp.app: rejected.”

ВАЖНО! Запись в командной строке имен файлов и папок с пробелами

Если Вам нужно указать путь к файлу или программе и в них содержатся пробелы, например файл “Мой документ.txt” лежит в папке “Мои файлы”, то в командной строке путь к нему будет записан так: /Мои \файлы/Мой \документ.txt. Иначе говоря, Вам нужно после пробела всегда ставить знак обратной косой — обратный слэш (\).

Одобрение и блокировка приложений

Для того, чтобы одобрить приложение для запуска, сначала присвойте ему метку. Ну например, «ApprovedApps» (Одобренные приложения):

И затем, Gatekeeper’у нужно сообщить, что все приложения с такой меткой являются одобренными (одобрить список приложений с такой меткой):

Теперь, Gatekeeper будет разрешать запуск приложений которым Вы присвоите метку «ApprovedApps». Поскольку правило разрешения уже имеется, то следующее (ещё одно) приложение, для которого будет разрешен запуск, можно добавить командой:

И так для всех остальных. Но, может быть, приспичит все эти программы разжаловать и запретить им запуск. Сделать это можно вот так:

Но, логика подсказывает, что лучше иметь два правила вместо одного. Поэтому, можно создать второй список (метку), и сказать что все, что имеет такую метку — запрещено к запуску:

Теперь, если нам нужно будет переназначить метку приложению, то сделать можно это вот так:

Вот так вот все совсем не хитро. Удачи в запуске приложений! )

Источник

[OS X] Отключаем функцию Gatekeeper

Безопасность — один из краеугольных камней, на которых стоит OS X, но некоторым пользователям приходится жертвовать надёжностью ради удобства. Не стала исключением и Gatekeeper — полезная функция, контролирующая запускаемые на компьютере программы, и о том, как её отключить, мы расскажем в данном материале.

Gatekeeper — отличная вещь для простого пользователя. Эта функция не позволяет запускать потенциально нежелательные приложения, проверяя их на соответствие заданным требованиям вроде размещения в App Store или наличия специального сертификата. А вот разработчикам, системным администраторам и прочим энтузиастам Gatekeeper может здорово помешать в работе, и во избежание этого функция легко отключается в «Системных настройках». Впрочем, через 30 дней неактивности она включится автоматически, о чём честно предупреждает всплывающее окно.

sudo defaults write /Library/Preferences/com.apple.security GKAutoRearm -bool NO

sudo defaults write /Library/Preferences/com.apple.security GKAutoRearm -bool YES

Надеемся, этот трюк избавит не только от ставшего на вашем пути Gatekeeper, но и от поиска нужного решения. Повторюсь, отключать функцию стоит только в случае необходимости, большинству же владельцев Mac рекомендуется оставить её включённой. Надёжной вам системы!

Источник

Строим OpenVPN мост под Mac OSX

Однажды у меня появилась необходимость иметь доступ к локальной сети из удаленного места. Для выполнения данной задачи на iMac был поставлен OSX server в котором был настроен удаленный доступ VPN. Все работало вполне сносно кроме mDNS(Bonjour). Как оказалось данная реализация VPN не поддерживает мультикаст. А он был жизненно необходим из за наличия некоторых специальных приложений которые работают только в локальной сети.

После непродолжительного поиска нашлось несколько решений данной проблемы. Одно из них бесплатное предполагало установку программы «Network Beacon» и прописывания в ней руками путей к службам «Bonjour». Другое решение было платным и предполагало установку специального приложения «ShareTool» которое во первых может строить собственные SSH туннели и во вторых передавать по туннелю информацию о службах на стороне сервера.

Минусов у этого решения два. Первый это то что надо покупать лицензию на каждую машину. Ну и второй заключается в том что это решение все равно костыль. А мне хотелось все сделать как можно чище.

Решением оказалась постройка VPN моста на базе OpenVPN с виртуальным адаптером «tap».
Но как это сделать? В сети я нашел много разных инструкций по настройке подобной конфигурации но ни одного варианта постройки моста под OSX.

И тут я вспомнил как настраивал мост для расширения беспроводной сети и решил сделать все похожим образом.

Шаг первый — Настраиваем OpenVPN

Все последующие шаги будут требовать прав суперпользователя. По этому открываем терминал и сразу переходим в режим безграничных возможностей.

Для начала устанавливаем драйвер TunTap
Загрузить его можно по этой ссылке: tuntap_20111101.tar.gz
Распаковываем, запускаем инсталлятор. После окончания установки загружаем модули в ядро.

Далее устанавливаем и сам OpenVPN посредством MacPorts.

Для тех кто еще не знает — Easy-RSA больше не входит в состав пакета OpenVPN по этому качаем его отдельно по ссылке:
easy-rsa-release-2.x.zip

Для большего удобства копируем содержимое папки «openvpn2» в «/etc/openvpn».

Распаковываем в нее Easy-RSA 2.

Правим под себя vars и генерируем ключи. Правка «vars» заключается в исправлении информации о держателе сертификата и ключа а также изменении (при необходимости) длинны параметров Диффи — Хеллмана.

В заключении генерируем параметры Диффи — Хеллмана.

Правим образец из «/etc/openvpn/sample-config-files/» или создаем новый «server.conf».
Для примера мой вариант

Теперь переходим к следующему этапу создаем мост средствами самой MacOS.

Шаг второй — «Мостостроительство»

Запускаем Системные настройки и выбираем Сеть.

Жмем на шестеренку и выбираем «Управлять виртуальными интерфейсами».

Далее кликаем на плюс и выбираем «Новый мост…».

Здесь мы никогда не увидим наш интерфейс «tap» даже при запущенном сервере OpenVPN. Но как оказалось при всей «дружественности» MacOs дает возможность создать сетевой мост с одним интерфейсом. А это как раз то что нам необходимо. Выбираем адаптер которым мы подключены к сети и обзываем мост по своему усмотрению. Жмем «создать» и «готово».

Далее настраиваем подключение моста также как был настроен сетевой интерфейс и кликаем Применить.

Все, сеть настроена и окно можно закрывать. Оно больше не понадобится.
Теперь можно проверить в терминале наличие моста с одним членом. Запускаем команду «ifconfig» и убеждаемся в наличии моста bridge0 с одним членом в роли которого выступает интерфейс который мы выбрали при его создании.

Следующий этап представляет из себя создание скрипта который должен выполнить две функции. Во первых убедить ядро пропускать пакеты и во вторых добавить интерфейс «tap» в мост.

Шаг третий — Запуск

Создаем файл «/etc/openvpn/scripts/up.sh».

Сохраняем и делаем его исполняемым.

Путь к этому скрипту прописывается в конфигурации сервера и запускается после создания виртуального интерфейса.

Сервер запустился? Если да то убиваем его «Control+C». Если вылетел с ошибками то смотрим с какими и исправляем.

Теперь переходим к автозапуску сервера.

Создаем файл «/Library/LaunchDaemons/org.openvpn.bridge.plist» следующего содержания.

Сохраняем и запускаем сервер.

Все, с запуском сервера справились. Переходим к клиенту.

Шаг четвертый — Клиент

Я коротко опишу только вариант запуска клиента из под MacOS. Так как я подключаюсь к этому серверу с МакБука, и у меня не было необходимости ставить на него Xcode и MacPorts, я решил использовать решение типа «все включено» каким является «Tunnelblick».

Создаем папку конфигурации. Например на рабочем столе. Делать это проще на сервере. Далее будет понятно почему.
В папке создаем файл «config.ovpn» и прописываем конфигурацию.

Сохраняем и копируем в ту же папку ключи и сертификаты созданные в начале.

После копирования ключей и сертификатов необходимо поменять им владельца. Он должен совпадать с пользователем под которым мы строим конфигурацию. За одно покидаем рай суперпользователей.

Далее переименовываем папку с конфигурацией и ключами (имя папки будет названием конфигурации в «Tunnelblick») и добавляем расширение «.tblk»

После этого переносим конфигурацию на клиент с установленным «Tunnelblick» любым удобным способом. После чего открываем «Finder» находим расположение конфигурации и щелкаем по ней дважды. Она автоматически добавится к конфигурациям.
Запускаем «Tunnelblick», выбираем из списка свою конфигурацию и жмем кнопку «Соединится». И если все сделано правильно то через несколько секунд у нас уже есть полный доступ к удаленной локальной сети включая все мультикаст протоколы.

Источник