Защита приложений от модификации в macOS не работает, жалуются эксперты

Защита приложений от модификации в macOS не работает, жалуются эксперты

Защита приложений от модификации в macOS не работает, жалуются эксперты

В прошлом году Apple представила функциональность под названием App Management, задача которой — препятствовать модификации одного приложения со стороны другого в macOS. Сейчас разработчики жалуются, что фича работают не так, как хотелось бы.

Ранее не мероприятии 2022 Worldwide Developers Conference представители Apple описывали App Management («Управление приложениями») следующим образом:

«Если условное приложение видоизменяется чем-то, что не подписано той же командой разработчиков или не разрешено NSUpdateSecurityPolicy, система macOS заблокирует такую активность, а также уведомит пользователя о несанкционированном вмешательстве».

Конфигурацию этой функциональности можно найти в настройках macOS (пункт «Конфиденциальность и безопасность»). Несмотря на вполне понятный и обнадеживающий анонс, ряд разработчиков считают, что фича не обеспечивает должного уровня безопасности приложений.

Например, Джефф Джонсон из Underpass App Company как-то заявлял, что приложения из песочницы могут обойти App Management.

«Помещенное в песочницу приложение может модифицировать файл, который должен находиться под защитой App Management», — писал Джонсон.

На днях специалист опубликовал в блоге новую запись, согласно которой ему удалось изменить файл настроек браузера Firefox (update-settings.ini) с помощью родного приложения macOS — TextEdit. App Management, по словам Джонсона, пропустил эту активность.

«TextEdit помещен в песочницу, и довольно забавно, что изначально она должна защищать от атак, но в этом случае как раз открывает возможность для атаки», — объясняет исследователь.

«В целом это баг, уязвимость: получается, что софт из песочницы может модифицировать файлы, которые должны быть защищены функциональностью macOS».

Джонсон разработал демонстрационный эксплойт (ZIP), который состоит из приложения вне песочницы, встроенного в помещенную в песочницу программу. Эксперт уточнил, что тестировал PoC в macOS 13.5.1.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

За месяц каждый десятый россиянин установил самозапрет на кредиты

В течение первого месяца действия новой меры возможностью установить самозапрет на получение кредитов воспользовались 10% экономически активного населения России — 7,94 млн человек.

Наибольшая активность россиян пришлась на первую неделю после запуска сервиса 1 марта.

Инициатива направлена на предотвращение различных схем телефонного и онлайн-мошенничества. Ее внедрение предлагалось еще в 2023 году.

Согласно данным «Объединенного кредитного бюро», за месяц сервисом воспользовались 7,94 млн человек, из которых 91,5% установили полный запрет на получение кредитов. Около 130 тыс. человек воспользовались возможностью досрочного снятия самозапрета.

Начальник аналитического отдела компании «Риком-Траст» Олег Абелев отметил, что такое количество пользователей эквивалентно 10% экономически активного населения России, что можно считать значительным показателем.

Относительно дальнейшей динамики мнения экспертов, опрошенных «Коммерсантом», разделились. Хотя большинство считает, что пик уже пройден, в саморегулируемой организации МиР, объединяющей микрофинансовые организации, полагают, что потенциал для роста сохраняется, хотя мартовских темпов ожидать уже не стоит.

По мнению председателя Национального совета финансового рынка (НСФР) Андрея Емелина, самозапрет должен использоваться не только как защита от мошенников, но и как средство контроля импульсивных покупок дорогостоящих товаров. Это, в свою очередь, может способствовать улучшению качества кредитных портфелей банков.

«Утверждать, что потенциал роста полностью исчерпан, преждевременно. Не все граждане еще осведомлены о возможности самозапрета, особенно в удалённых регионах и среди менее цифровизированных слоёв населения», — отметил управляющий партнер экспертной группы Veta Илья Жарский.

В то же время директор департамента разработки розничных продуктов и развития цифровых каналов Ингосстрах Банка Полина Берсенева полагает, что большинство желающих уже воспользовались данной возможностью. А директор департамента банковского развития Ассоциации банков России Николай Тарасов убеждён, что самозапрет чаще всего устанавливают те, кто и без того не пользуется кредитами, либо для защиты детей и пожилых родственников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru