Apple ha iniziato a distribuire ieri il nuovo sistema operativo Os X El Capitan per Mac, ma sembra essersi dimenticata indietro qualche pezzo. Nonostante l’upgrade, infatti, l’ecosistema avrebbe ancora al proprio interno un paio di vulnerabilità, che non sarebbero quindi state risolte dalla Mela. La prima riguarda Gatekeeper, che consente di proteggere i computer dalle app scaricate da Internet che potrebbero causare problemi a causa della loro fonte non certificata da Apple. Ma, come evidenziato dall’esperto ricercatore Patrick Wardle, abituato a testare i sistemi di Cupertino, la fortezza non sarebbe così sicura. Anzi, in caso di attacchi leggermente sofisticati si rivelerebbe addirittura inutile. La descrizione della vulnerabilità è semplice: Gatekeeper effettua soltanto un controllo sull’attendibilità del software che sta per essere scaricato. Una volta certificata la firma digitale, le barriere vengono abbassate e il sistema dà il via libera. Wardle è stato in grado però di creare un pacchetto contenente un certificato attendibile ma che, “dietro l’angolo”, conteneva il codice maligno.
Quando si avvia il download, quindi, l’applicativo esegue anche tutto il pacchetto, compreso il malware nascosto in una directory correlata. Tutto senza che Gatekeeper se ne accorga. “Il controllo non funziona in questo caso, perché il sistema ne effettua solo uno all’inizio della procedura”, dichiara Wardle a Forbes. “Il raggiro è elementare, ma efficace”. Il software scritto dal ricercatore è una “semplice” applicazione avente un solo obiettivo: avviare una seconda app nella propria directory e poi mettersi a riposo.
Fonte: Synack
In questo modo è possibile aprire un programma Terminale nel Mac, che solitamente consente all’utente di interagire con la macchina tramite interfaccia a riga di comando. Per non far notare nulla alla vittima, aggiunge Wardle, è sufficiente rendere il Terminale invisibile cambiando il nome dell’applicazione. A questo punto, il Mac potrebbe benissimo ricevere malware sotto forma di programmi all’apparenza sicuri. Wardle avrebbe sottoposto la vulnerabilità ad Apple già sei mesi fa, sperando di vederla risolta con El Capitan. Ma così non è andata.
Il secondo bug è invece un argomento già noto. Ma, anche in questo caso, sembra che l’azienda di Cupertino non abbia preso contromisure. La falla era stata segnalata lo scorso giugno da un gruppo di ricercatori sino-statunitensi e riguarda la tecnologia Keychain, che permette di salvare password, token e più in generale vati dati d’accesso sotto ambiente sandbox. La vulnerabilità, ribattezzata Xara, esporrebbe queste informazioni agli hacker, che potrebbero così fare razzia di tutto il bottino.
Nonostante il team di ricerca abbia segnalato ad Apple la vulnerabilità già a ottobre 2014, da questo punto di vista Os X El Capitan non presenta alcun miglioramento rispetto al predecessore. Gli atenei Indiana University Bloomington, Peking University e il Georgia Institute of Technology hanno però nel frattempo sviluppato XGuardian, un kit open source disponibile su GitHub, che consente di mitigare il problema. Ma la sua risoluzione definitiva spetta soltanto ad Apple, che ai propri utenti dovrà sicuramente fornire una risposta a breve.
La tecnologia Keychain di Apple
Os X El Capitan e iOs 9.0.2: gli aggiornamenti di Apple
Se il nuovo sistema operativo della Mela per computer Mac presenta ancora un paio di vulnerabilità abbastanza serie, non si può comunque dire che il colosso californiano non si sia speso per cercare di sviluppare un prodotto ricco, performante e sempre più in linea con i bisogni degli utenti. Ad esempio, un Mission Control semplificato migliora visione e organizzazione delle finestre aperte sul Mac, che ora possono essere ordinate anche su un unico livello. È possibile anche creare una nuova Scrivania in caso il primo desktop si affolli troppo.
Split View è la vista suddivisa che posiziona in automatico due app una accanto all’altra a pieno schermo, in modo da non dovere continuamente aprire e chiudere finestre di lavoro. Migliorato anche Spotlight, che può essere utilizzato per controllare il valore delle azioni, le condizioni e le previsioni meteo, i risultati sportivi, calendari e classifiche sportive. I file possono essere cercati anche immettendo testo in linguaggio naturale. È quindi sufficiente inserire la stringa “la presentazione a cui ho lavorato ieri” e Spotlight troverà il documento in pochi secondi.
Safari offre la funzione Pinned Sites (siti appuntati), per tenere i siti preferiti sempre aperti e a portata di click, oltre a un nuovo pulsante per spegnere l’audio del browser al volo, da qualsiasi pannello provenga. Mail introduce i Suggerimenti Smart, che riconoscono i nomi o gli eventi nei messaggi e permettono la loro aggiunta ai contatti o al calendario in un passaggio. Con un gesto swipe, come avviene in iOs, si possono anche eliminare i messaggi. L’applicazione Foto presenta diverse novità e consente ad esempio di modificare le posizioni, di cambiare le descrizioni di più immagini contemporaneamente, di ordinare gli album per data o per titolo e di accedere a un editing più evoluto grazie alle estensioni per il fotoritocco.
Esempio di query in linguaggio naturale con Os X El Capitan
A quanto dichiarato da Apple, grazie alla tecnologia grafica Metal e all’accelerazione di Core Animation e Core Graphics, le velocità del rendering a livello di sistema sono state aumentate del 50%, mentre l’efficienza del 40%. Metal sfrutta inoltre al massimo la Cpu e la Gpu, garantendo prestazioni draw call fino a dieci volte superiori, per un’esperienza più fluida e ricca nei giochi e nelle app professionali.
A sole due settimane dal rilascio, invece, iOs 9 ha ricevuto in queste ore il secondo aggiornamento. L’azienda di Cupertino ha quindi portato il proprio sistema operativo mobile alla versione 9.0.2, risolvendo alcuni piccoli problemi noti. Ad esempio, l’upgrade sistema un bug che, nelle release precedenti, spegneva o accendeva in modo completamente arbitrario l’utilizzo dei dati cellulari. L’aggiornamento, inoltre, risolve una criticità in iCloud Backup: in certi casi, una volta avviato il backup manuale, il processo si interrompeva senza alcun motivo apparente.