Un investigador de seguridad de 18 años descubrió un error de macOS que puede exponer contraseñas en el software de llavero de Apple. Pero se niega a entregar los detalles a Apple porque la compañía no ofrece recompensas por encontrar fallas en macOS.

El investigador, Linus Henze, publicó un video que demuestra el llamado exploit “KeySteal”. Lo muestra ejecutando una aplicación manipulada en una MacBook Pro que luego extrae todas las credenciales de inicio de sesión almacenadas en el sistema de administración de contraseñas de macOS, Acceso a Llaveros.

Su aplicación manipulada solo necesita unos segundos para ejecutarse antes de que pueda revelar todos los nombres de usuario y contraseñas almacenados en texto sin formato. La vulnerabilidad afecta”macOS Mojave y versiones anteriores”, Henze tuiteó(Se abre en una nueva ventana).

Normalmente, cuando un se encuentra un error de software, el descubridor lo informa al proveedor para que lo corrija de inmediato. Pero no esta vez. “Es como [Apple doesn’t] realmente me importa macOS”, dijo Henze(Se abre en una nueva ventana) Forbes. “Encontrar vulnerabilidades como esta lleva tiempo, y creo que pagar a los investigadores es lo correcto porque estamos ayudando a Apple a hacer que su producto sea más seguro”.

El programa de recompensas por errores de Apple actualmente solo se aplica a iOS y es solo por invitación (y un adolescente de Arizona pronto podría ver un día de pago por un error de FaceTime que encontró). Todas las demás fallas y fallas del software se pueden informar al Informe de errores orientado al desarrollador de Apple.(Se abre en una nueva ventana) programa.

Otro investigador de seguridad de Mac, Patrick Wardle, le dijo a PCMag que probó el exploit de llavero de Henze y que es legítimo. Está de acuerdo en que Apple debería ofrecer un programa de recompensas por errores para macOS.

“Si [Apple] preocupado por la seguridad de macOS y sus usuarios, en mi humilde opinión, es una obviedad”, dijo Wardle. “Solo alentará a más investigadores de seguridad a encontrar este tipo de errores que Apple claramente está pasando por alto”.

Hasta ahora, Apple no ha comentado sobre el error de macOS. Pero Henze afirma que la compañía ya le envió un correo electrónico para obtener los detalles. La buena noticia es que el investigador de seguridad alemán no planea vender detalles sobre la falla a piratas informáticos malintencionados o traficantes de armas cibernéticas.

“Definitivamente sé que no lo guardaré para siempre (¡y definitivamente no lo venderé!). Probablemente presentaré mis hallazgos algún día”, dijo. tuiteó(Se abre en una nueva ventana).

Para protegerse del exploit de Henze, es mejor evitar instalar aplicaciones de fuentes no confiables. El exploit tampoco funciona si la aplicación Acceso a Llaveros ha sido bloqueada.