Apple har nu gett svar på de säkerhetsfrågor som dykt upp efter lanseringen av macOS Big Sur där program plötsligt slutade fungera och det framkom att Mac-användares IP-adresser har loggats vid start av applikationer.
Efter att Apple sjösatte senaste versionen av operativsystemet macOS under förra veckan ska många användare ha rapporterat om problem med den nya versionen. Användare ska ha upplevt problem med att starta program och applikationer medans de varit uppkopplade mot internet.
Detta ska ha berott på anslutningsproblem till Apples OCSP-server. Något som sedan lett till problem med Apples system för att kontrollera applikationers Developer ID vid användning. Developer ID-certifiering används för att verifiera att program som installeras från annat håll är App Store kommer från identifierade utvecklare. Samt att mjukvaran inte har modifierats av okända källor.
Efter problemen med servern publicerade säkerhetsforskaren Jeffrey Paul ett blogginlägg som ifrågasätter säkerheten i dessa system Apple använder sig av. Paul menar att det system där Mac-datorer kommunicerar med Apples OCSP-server ska vara osäker. Paul nämner i sitt blogginlägg hur kommunikationen innehållit till exempel användares IP-adresser som skickats utan någon form av kryptering. Denna information ska då ha varit möjlig att skåda för till exempel internetleverantörer och även den amerikanska militären.
Jeffrey Pauls blogginlägg nämner hur dessa loggade IP-adresser öppnar upp för potentiell övervakning av Mac-användare. Paul nämner hur den som vill kan utröna till exempel vart du var när du öppnade ett specifikt program, när du gjorde det och vilken leverantör du använder. Något som fick många att höja rött flagg kring säkerheten hos funktionen.
Apple är snabba på bollen
Efter problemen med OCSP-servern och Pauls blogginlägg har Apple nu uppdaterat sitt ”Safely open apps on your Mac”-dokument på sin hemsida. Längst ner på sidan har nu ett nytt stycke dykt upp och kartlägger vad för åtgärder Apple planerar att ta kring det hela.
Apple påpekar att Notarization-funktionen i operativsystemet alltid har använt sig av krypterade kopplingar. Något Developer ID kommer att få inom snar framtid också. Detta tillsammans med ökade skydd från fallerande servrar samt att användare kommer få möjligheten att inte använda dessa säkerhetsfunktioner.
Apple nämner även att man har slutat logga några IP-adresser som har samlats in under dessa kontroller av Developer ID-certifikaten. De adresser som redan finns i företagets loggar ska även de tas bort snarast möjligt.
De nya säkerhetsåtgärderna kommer att implementeras i macOS Big Sur under det kommande året.
Leave a Reply