È stata scoperta una significativa vulnerabilità di sicurezza con macOS High Sierra, che potenzialmente consente a chiunque di accedere a un Mac con funzionalità amministrative root complete senza password.

Si tratta di un problema di sicurezza urgente e, anche se dovrebbe arrivare presto un aggiornamento software per risolvere il problema, questo articolo spiegherà in dettaglio come proteggere il tuo Mac da questa falla di sicurezza.

Aggiornamento importante: Apple ha rilasciato l'aggiornamento di sicurezza 2017-001 per macOS High Sierra per correggere il bug di accesso root, scaricalo ora. Se utilizzi macOS High Sierra, scarica l'aggiornamento il prima possibile sul tuo Mac.

Cos'è il bug di accesso root e perché è importante?

Per un rapido background, il buco di sicurezza consente a una persona di inserire "root" come nome utente e quindi accedere immediatamente come root al Mac, senza password. L'accesso root senza password può avvenire direttamente con una macchina fisica nella schermata di accesso utente generale visualizzata all'avvio, dai pannelli delle Preferenze di sistema che in genere richiedono l'autenticazione o anche tramite VNC e accesso remoto se queste ultime due funzionalità di accesso remoto sono abilitate. Ciascuno di questi scenari consente quindi l'accesso completo alla macchina MacOS High Sierra senza mai utilizzare una password.

Un account utente root fornisce il massimo livello di accesso al sistema possibile su MacOS o qualsiasi sistema operativo basato su unix, root garantisce tutte le funzionalità degli account utente amministrativi sulla macchina oltre all'accesso illimitato a qualsiasi livello di sistema componenti o file.

Gli utenti Mac interessati dal bug di sicurezza includono chiunque esegua macOS High Sierra 10.13, 10.13.1 o 10.13.2 beta che non hanno precedentemente abilitato l'account root o modificato la password di un account utente root sul Mac prima, ovvero la stragrande maggioranza degli utenti Mac che utilizzano High Sierra.

Suona male, vero? Lo è, ma c'è una soluzione abbastanza semplice che impedirà a questo bug di sicurezza di essere un problema. Tutto quello che devi fare è impostare una password di root sul Mac interessato.

Come impedire l'accesso root senza password in MacOS High Sierra

Esistono due approcci per impedire l'accesso root senza una password su un computer MacOS High Sierra, puoi utilizzare Directory Utility o la riga di comando. Copriremo entrambi. Directory Utility è forse più semplice per la maggior parte degli utenti poiché è realizzata interamente dall'interfaccia grafica sul Mac, mentre l'approccio della riga di comando è basato sul testo ed è generalmente considerato più complesso.

Utilizzo di Directory Utility per bloccare la radice

1. Apri Spotlight sul Mac premendo Comando+Barra spaziatrice (o facendo clic sull'icona Spotlight nell'angolo in alto a destra della barra dei menu) e digita "Utilità directory" e premi Invio per avviare l'app



2. Fai clic sull'icona del lucchetto nell'angolo e autenticati con un accesso all'account amministratore



3. Ora apri il menu "Modifica" e scegli "Cambia password root…"



4. Inserisci una password per l'account utente root e conferma, quindi fai clic su "OK"



5. Chiudi l'utility Directory

Se l'account utente root non è ancora abilitato, scegli "Abilita utente root" e imposta invece una password.

In sostanza tutto quello che stai facendo è assegnare una password all'account root, il che significa che l'accesso con root richiederà una password come dovrebbe. Se non assegni una password per eseguire il root in questo modo, sorprendentemente, una macchina macOS High Sierra accetta un accesso root senza alcuna password.

Uso della riga di comando per assegnare una password di root

Gli utenti che preferiscono utilizzare la riga di comando in macOS possono anche impostare o assegnare una password di root con sudo e il normale vecchio comando passwd.

1. Apri l'applicazione Terminale, che si trova in /Applicazioni/Utility/
2. Digita esattamente la seguente sintassi nel terminale, quindi premi il tasto Invio:

sudo passwd root

3. Inserisci la tua password amministratore per autenticarti e premi invio
4. In "Nuova password", inserisci una password che non dimenticherai, premi Invio e confermala

Assicurati di impostare la password di root su qualcosa che ricorderai, o forse anche che corrisponda alla tua password di amministratore.

Come faccio a sapere se il mio Mac è interessato dal bug di accesso root senza password?

Sembra che solo le macchine macOS High Sierra siano interessate da questo bug di sicurezza. Il modo più semplice per verificare se il tuo Mac è vulnerabile al bug di accesso root è provare ad accedere come root, senza password.

Puoi farlo dalla schermata di accesso generale all'avvio o tramite qualsiasi pannello di autenticazione dell'amministratore (facendo clic sull'icona del lucchetto) disponibile in Preferenze di Sistema come FileVault o Utenti e gruppi.

Inserisci semplicemente "root" come utente, non inserire una password e fai clic su "Sblocca" due volte: se il bug ti colpisce, sarai loggato come root o ti verranno concessi i privilegi di root. Devi premere "sblocca" due volte, la prima volta che fai clic sul pulsante "sblocca" crea l'account root con una password vuota, e la seconda volta che fai clic su "sblocca" esegue l'accesso, consentendo l'accesso root completo.

Il bug, che è fondamentalmente un root exploit di 0 giorni, è stato segnalato per la prima volta al pubblico su Twitter da @lemiorhan e ha rapidamente guadagnato l'attenzione dei media e del vapore a causa della potenziale gravità dell'impatto. Apparentemente Apple è a conoscenza del problema e sta lavorando a un aggiornamento software per risolvere il problema.

Il bug di accesso root influisce su macOS Sierra, Mac OS X El Capitan o versioni precedenti?

Il bug di accesso root senza password sembra interessare solo macOS High Sierra 10.13.x e non sembra influire sulle versioni precedenti del software di sistema macOS e Mac OS X.

Inoltre, se in precedenza avevi abilitato root tramite la riga di comando o tramite Directory Utility, o se avessi cambiato la password di root in un altro momento, il bug non avrebbe funzionato su una tale macchina macOS High Sierra.

Ricorda, Apple è a conoscenza di questo problema e rilascerà un aggiornamento di sicurezza nel prossimo futuro per risolvere il bug. Nel frattempo, fatti un favore e imposta o modifica la password di root sui Mac che eseguono macOS High Sierra per proteggerli dall'accesso completo non autorizzato alla macchina e a tutti i suoi dati e contenuti.