Fallo en la gestión de contraseñas de usuarios de Mac OS X Lion

La protección de las cuentas de usuario es un punto vital en la seguridad de cualquier sistema operativo. Esto es así independientemente de si usamos Windows, Linux o Mac, aunque cada uno de esos sistemas lo implemente de forma distinta.

En el caso del sistema operativo de Apple, las contraseñas de los usuarios se cifran y almacenan en una especie de ficheros conocidos como “Shadow Files”, que se ubican luego en puntos seguros del disco. El contenido de estos archivos solo puede ser modificado por su usuario propietario o por otro usuario con permisos de administrador, algo lógico y que se respetaba, al menos, hasta la aparición de Lion.

Recientemente, el investigador Patrick Dunstan publicó un artículo donde demostró cómo Lion no respeta esta máxima de la seguridad y permite a cualquier usuario cambiar las contraseñas de otros usuarios, aun sin disponer de permisos de administrador, con tan solo ejecutar el siguiente comando desde el terminal:

$ dscl localhost -passwd /Search/Users/NombreUsuario

En versiones anteriores de Mac OS X, para poder establecer una nueva contraseña primero se solicitaba la anterior, cosa que evitaba cambios no autorizados. No obstante, en Lion este control no existe, lo cual supone un grave problema, puesto que, por poner un ejemplo, un usuario al que se le ha cambiado la contraseña sin él saberlo perdería el acceso a sus datos si se está usando el sistema de cifrado de disco FileVault 2.

Hasta que Apple lance un parche que solucione este grave fallo, desde el laboratorio de ESET en Ontinet.com recomendamos proteger el acceso a nuestro sistema con Mac OS X Lion. Para ello es importante establecer una serie de medidas de seguridad, como desactivar el registro automático de usuarios en el sistema, establecer contraseñas para desactivar el salvapantallas o el modo de hibernación, desactivar las cuentas de invitado y realizar una gestión eficaz de usuarios limitando el acceso a herramientas como la terminal del sistema.

Josep Albors