Er is een aanzienlijk beveiligingslek ontdekt met macOS High Sierra, waardoor mogelijk iedereen zonder wachtwoord kan inloggen op een Mac met volledige rootbeheermogelijkheden.

Dit is een urgent beveiligingsprobleem en hoewel er binnenkort een software-update zou moeten komen om het probleem op te lossen, wordt in dit artikel beschreven hoe je je Mac kunt beschermen tegen dit beveiligingslek.

Belangrijke update: Apple heeft beveiligingsupdate 2017-001 voor macOS High Sierra uitgebracht om de root-aanmeldingsfout te verhelpen, download deze nu. Als je macOS High Sierra gebruikt, download de update dan zo snel mogelijk naar je Mac.

Wat is de root login bug, en waarom is het belangrijk?

Voor een snelle achtergrond: het beveiligingslek stelt een persoon in staat om 'root' in te voeren als gebruikersnaam en vervolgens onmiddellijk in te loggen als root op de Mac, zonder wachtwoord. De root-login zonder wachtwoord kan rechtstreeks plaatsvinden met een fysieke machine op het algemene inlogscherm van de gebruiker dat te zien is bij het opstarten, vanuit de panelen met systeemvoorkeuren die doorgaans authenticatie vereisen, of zelfs via VNC en Remote Login als die laatste twee functies voor externe toegang zijn ingeschakeld. Elk van deze scenario's geeft dan volledige toegang tot de MacOS High Sierra-machine zonder ooit een wachtwoord te gebruiken.

Een root-gebruikersaccount biedt het hoogst mogelijke niveau van systeemtoegang op een MacOS of een op Unix gebaseerd besturingssysteem, root verleent alle mogelijkheden van administratieve gebruikersaccounts op de machine naast onbeperkte toegang tot elk systeemniveau componenten of bestanden.

Mac-gebruikers die door de beveiligingsbug worden getroffen, zijn onder meer iedereen die macOS High Sierra 10.13, 10.13.1 of 10.13.2 bèta's gebruikt die niet eerder het root-account hebben ingeschakeld of het wachtwoord van een root-gebruikersaccount op de Mac hebben gewijzigd voorheen, dat is de overgrote meerderheid van Mac-gebruikers die High Sierra gebruiken.

Klinkt slecht, toch? Dat is het, maar er is een vrij eenvoudige oplossing die voorkomt dat deze beveiligingsbug een probleem wordt. Het enige wat je hoeft te doen is een root-wachtwoord instellen op de betrokken Mac.

Hoe root-login zonder wachtwoord te voorkomen in MacOS High Sierra

Er zijn twee manieren om root-login zonder wachtwoord op een MacOS High Sierra-machine te voorkomen: u kunt Directory Utility of de opdrachtregel gebruiken. We behandelen beide. Adreslijsthulpprogramma is misschien gemakkelijker voor de meeste gebruikers, omdat het volledig wordt uitgevoerd vanuit de grafische interface op de Mac, terwijl de opdrachtregelbenadering op tekst is gebaseerd en over het algemeen als complexer wordt beschouwd.

Directoryhulpprogramma gebruiken om root te vergrendelen

1. Open Spotlight op de Mac door op Command+spatiebalk te drukken (of door op het Spotlight-pictogram in de rechterbovenhoek van de menubalk te klikken), typ "Directory Utility" en druk op Return om de app te starten



2. Klik op het slotje in de hoek en verifieer met een beheerdersaccount login



3. Ga nu naar het menu "Bewerken" en kies "Change Root Password..."



4. Voer een wachtwoord in voor het rootgebruikersaccount en bevestig, en klik vervolgens op "OK"



5. Directoryhulpprogramma afsluiten

Als de root-gebruikersaccount nog niet is ingeschakeld, kiest u 'Rootgebruiker inschakelen' en stelt u in plaats daarvan een wachtwoord in.

In wezen hoef je alleen maar een wachtwoord toe te wijzen aan het root-account, wat betekent dat inloggen met root een wachtwoord vereist, zoals het hoort. Als je op deze manier geen wachtwoord toekent om te rooten, is het verbazingwekkend dat een macOS High Sierra-machine een root-login zonder wachtwoord accepteert.

De opdrachtregel gebruiken om een ​​root-wachtwoord toe te wijzen

Gebruikers die liever de opdrachtregel in macOS gebruiken, kunnen ook een root-wachtwoord instellen of toewijzen met sudo en de reguliere oude passwd-opdracht.

1. Open de Terminal-toepassing, te vinden in /Applications/Utilities/
2. Typ de volgende syntaxis exact in de terminal en druk op de Return-toets:

sudo passwd root

3. Voer uw beheerderswachtwoord in om te verifiëren en druk op Return
4. Voer bij "Nieuw wachtwoord" een wachtwoord in dat je niet snel zult vergeten, druk op Enter en bevestig het

Zorg ervoor dat u het root-wachtwoord instelt op iets dat u zich kunt herinneren, of misschien zelfs op hetzelfde wachtwoord als uw admin-wachtwoord.

Hoe weet ik of mijn Mac is getroffen door de wachtwoordloze root login-bug?

Het lijkt erop dat alleen macOS High Sierra-machines worden getroffen door deze beveiligingsbug. De gemakkelijkste manier om te controleren of uw Mac kwetsbaar is voor de root-aanmeldingsbug, is door te proberen in te loggen als root, zonder wachtwoord.

U kunt dit doen vanaf het algemene opstart-inlogscherm of via elk admin-authenticatiepaneel (door op het slotpictogram te klikken) dat beschikbaar is in Systeemvoorkeuren zoals FileVault of Gebruikers en groepen.

Geef gewoon 'root' als gebruiker, voer geen wachtwoord in en klik twee keer op "Ontgrendelen" - als de bug u treft, wordt u ingelogd als root of krijgt u rootrechten. Je moet twee keer op "ontgrendelen" drukken, de eerste keer dat je op de knop "ontgrendelen" klikt, wordt het root-account gemaakt met een leeg wachtwoord, en de tweede keer dat je op "ontgrendelen" klikt, logt het in, waardoor volledige root-toegang mogelijk is.

De bug, die eigenlijk een 0day root-exploit is, werd voor het eerst aan het publiek gemeld op Twitter door @lemiorhan en kreeg snel stoom en media-aandacht vanwege de mogelijke ernst van de impact. Apple is blijkbaar op de hoogte van het probleem en werkt aan een software-update om het probleem op te lossen.

Heeft de root-inlogbug invloed op macOS Sierra, Mac OS X El Capitan of eerder?

De root-inlogbug zonder wachtwoord lijkt alleen van invloed te zijn op macOS High Sierra 10.13.x en lijkt geen invloed te hebben op eerdere versies van macOS en Mac OS X-systeemsoftware.

Bovendien, als je eerder root had ingeschakeld via de opdrachtregel of Directory Utility, of het root-wachtwoord op een ander moment had gewijzigd, zou de bug niet werken op zo'n macOS High Sierra-machine.

Vergeet niet dat Apple op de hoogte is van dit probleem en in de nabije toekomst een beveiligingsupdate zal uitbrengen om de bug te verhelpen. Doe jezelf ondertussen een plezier en stel of wijzig het root-wachtwoord in op Macs met macOS High Sierra om ze te beschermen tegen ongeoorloofde volledige toegang tot de machine en al zijn gegevens en inhoud.