Seguridad en Mac OS X

En la edición del mes de marzo de (IN)SECURE Magazine hay una breve, pero interesante, entrevista al experto en seguridad italiano Vincenzo Iozzo. Vincenzo colabora en varios proyectos open source y ha dado charlas en varios eventos relacionados con la seguridad en los sistemas operativos. El pasado mes anuncio que había descubierto una vulnerabilidad en Mac OS X.

En la entrevista se le pregunta sobre la investigación que ha llevado a cabo sobre Mac OS X, el sistema operativo que gobierna todas las máquinas de Apple. En un principio, Iozzo, considera que Mac OS X tiene bastantes carencias en materia de seguridad. Principalmente, la falta de medidas, ya presentes en otros sistemas, que hacen que Mac OS X vaya por detrás en seguridad frente a GNU/Linux y Windows Vista.

Concretamente, nombra tanto la falta de uso de ASLR en pilas y procesos, y que actualmente sólo es utilizado en el espacio de direcciones de las librerías. Otra de las quejas es que las aplicaciones no usan los canaries, mecanismos que permiten controlar los buffer overflow y que sí están soportados por el sistema.

A pesar de todo, es optimista sobre los posibles problemas de seguridad en este sistema operativo y se muestra bastante escéptico con los rumores y anuncios de un aumento considerable de los fallos de seguridad en Mac OS X, aunque la falta de medidas de choque como las nombradas haga más sencillo el desarrollo de exploits.

Entre las aplicaciones que ve más vulnerables están tanto Quicktime como Safari, bastante integradas en el sistema y con carencias de seguridad en su ejecución.

Por supuesto, en la entrevista también se dan una serie de consejos para evitar sorpresas desagradables:

• No utilizar una cuenta de administrador.
• Utilizar FileVault para encriptar los datos e inspeccionar los dmg antes de utilizarlos.
• Por supuesto, aplicar lo más pronto posible las posibles actualizaciones de seguridad que puedan aparecer.

Para usuarios experimentados recomienda algunos programas, procedentes de entornos Unix como OpenGPG, una herramienta de encriptación y Tripwire, que analiza la integridad de los ficheros de nuestro sistema. Una última recomendación es el uso de Systrace, que controla el acceso al sistema de las distintas aplicaciones que se ejecutan.

La entrevista no pasa de ser un pequeño tirón de orejas a los ingenieros de Cupertino, los cuales anunciaron múltiples medidas de seguridad que siguen sin llegar y que se esperan en el nuevo Snow Leopard.

Algunos enlaces sobre el tema:

• Comparativa OS X y Vista en el uso de ASLR.
• Análisis de las características de seguridad de Leopard.
• Leopard Security Config (PDF)
• Introducción a Systrace en blackshell.
• Snow Leopard: 64-bits security (artículo AppleInsider)

Nota: A pesar de lo alarmante que pueda resultar el tema de que se haya descubierto una vulnerabilidad en el sistema, parece poco probable que pueda ser aprovechada en un presente cercano para realizar algún tipo de exploit y que se distribuya masivamente.