Wer OS X/iOS nicht kennt, die Keychain ist ein Datenspeicherdienst für Passwörter/Keys zusammen mit Meta Daten, wobei die Passwörter/Keys selber verschlüsselt werden, die Meta Daten nicht. Außerdem gibt es für jedes Item eine Zugriffsliste welche Programme auf diesen Eintrag zugreifen dürfen. Hier wird der Pfad und die Prüfsumme (ein Hash) des Binaries gespeichert, bzw. bei signierten Apps statt Prüfsumme die App Signatur (Signatur bzw. Prüfsumme um zu erkennen, dass das Binary ggf. manipuliert wurde). Will ein Programm auf ein Item zugreifen, dass nicht in der Liste seht und das System kann den Nutzer fragen, dann wird der Nutzer gefragt, kann es nicht fragen, lehnt das System sofort ab.

Wer so einen Eintrag neu schreibt, der darf auch die Zugriffsliste so setzen, wie er will. Macht man das nicht, dann landet nur die App darauf, die den Eintrag geschrieben hat. Das ist der 90% Fall. Aber es gibt auch Fälle, wo alle Apps eines Herstellers gerne Zugriff auf das gleiche Passwort haben wollen. Hier kann ein Hersteller dann eben seine anderen Apps in die Zugriffsliste aufnehmen... und genau das ist der Schwachpunkt. Keine App, die ich kenn, prüft jemals die Zugriffsliste.

Wenn ich weiß die tolle App XYZ schreibt einen ganz bestimmtes Passwort in die Keychain und ich weiß genau wie dieser Eintrag aussieht, dann lasse ich einfach meine App selber so ein Passwort in die Keychain schreiben, setze mich selber auf die Zugriffsliste, aber auch die App XYZ (die der Nutzer zu diesem Zeitpunkt vielleicht noch gar nicht hat oder noch nie benutzt hat). Startet der Nutzer jetzt XYZ, dann findet diese App dort einen Passworteintrag. Dieser ist natürlich Müll, aber egal. Gibt der Nutzer dann sein echtes Passwort ein oder ändert er das Passwort (vielleicht weil die App irgendwas von falschen Passwort sagt, wird die meisten Nutzer nicht stören), dann wird der Eintrag geändert, aber die Zugriffsliste bleibt gleich. Das muss sie schon alleine aus dem Grund, weil der Nutzer sie ja manipulieren kann; er kann ja anderen Apps den Zugriff erlaubt haben, auch dauerhaft, woraufhin diese auch auf der Liste landen.

Jetzt steht also ein echtes Passwort in dem Eintrag von XYZ, aber meine böse App steht nach wie vor auf der Zugangsliste und ich kann das Passwort auslesen, ohne dass der Nutzer was merkt. Ich muss nur gelaufen sein bevor XYZ gelaufen ist, das ist die einzige Bedingung für den Angriff. Dank Keychain Sync über iCloud muss XYZ und meine App nicht zwangsweise auf den gleichen Gerät laufen damit dieser Angriff funktioniert.

Aus meiner Sicht wäre der Fix denkbar einfach:

1. Es gibt zwei Zugriffslisten. Die des Nutzers und die der Apps. Wenn der Nutzer einer App permanent Zugriff erlaubt (nur dann landet sie ja auf der Liste, bei temporären Zugriff sowieso nicht), dann landet die App auf der Zugriffsliste des Nutzers. Somit ist es ungefährlich jederzeit die Zugriffsliste der Apps zu "überschreiben", das macht dem Nutzer nichts kaputt von seinen Einstellungen.

2. Jedes mal wenn eine App ein Item schreibt, egal ob es neu angelegt wird oder ein vorhandenes geändert wird, wird die Zugriffsliste des Items (die Zugriffsliste der Apps, nicht die des Nutzers!) neu geschrieben. Immer. Gibt die App nichts an, dann kommt wie jetzt auch nur die App selber auf die Liste. Will ein Hersteller hingegen das Passwort mit anderen Apps teilen, dann muss er jedes mal beim Schreiben des Items (auch beim update) alle diese Apps wieder auf die Zugriffsliste setzen, weil nur wer da angegeben ist, der ist danach auch auf der Liste.

Im obigen Angriffsszenario gibt XYZ entweder nichts an oder es gibt verschiedene Apps an, aber so oder so hat das Item dann eine Liste, auf der meine App nicht mehr drauf steht und ich komme dann an das Item nicht mehr ran.

Der Fix klingt einfach, hat aber zwei Implikationen:

A) Das Datenformat der Keychains muss sich ändern für zwei Zugriffslisten. Das Datenformat hat sich seit Mac OS 8.6 nicht wesentlich verändert (8.6 also noch vor MacOS X!) - die Zugriffsliste an sich schon (weil App Signaturen ja erst später eingeführt wurden), aber vielleicht so, dass es sogar rückwärts kompatibel ist. Diese Kompatibilität würden zwei Listen auf jeden Fall brechen. Gut, das ist wohl noch das kleinste Problem, bis auf die Tatsache, dass Apple die Keychains auch zwischen Geräten synchronisiert (über iCloud), d.h. es betrifft auch online Dienste die angepasst werden müssen und wie synchronisiert man, wenn der Nutzer auf einem System noch kein Update hat, dass mit zwei Zugriffslisten umgehen kann?

B) Alle Apps die bisher eine Zugriffsliste geschrieben haben müssen angepasst werden, weil bisher schreiben Apps die nur, wenn sie das Item anlegen, nicht aber wenn sie deren Inhalt ändern. Ohne Updates diverser Apps wird es hier zu Problemen kommen.

/Mecki