Quand le mot de passe de Mac OS X Lion ne sert à rien

*ironique* si on a accès physique et qu'on a les droits admin on peut faire un reset des mots de passe ?! dingue ça ! ... à moins que ça ne soit le cas sur la plupart des systèmes d'exploitation et des machines courantes.

Je veux pas dire, mais à moins d'avoir un système d'authentification type carte à puce ou token hardware, c'est un peu inévitable.

Quant à trouver le mot de passe à partir du hash, si le mot de passe est bien construit et suffisamment long, on peut toujours tenter ... De toutes façons l'humain étant par essence faillible, tout système d'authentification qui repose à 90% sur le choix de l'utilisateur est intrinsèquement mauvais : on a tous les moyens techniques pour faire de l'authentification proprement ; à quand la démocratisation des cartes à puces sur les ordi ? (ou tout autre moyen matériel sérieux)

Au passage, faire un reset des mots de passe sous Windows quand on a les droits admin (ou qu'on peut booter sur un autre OS) c'est à peu près aussi facile.

et bien, si c'est ça la sécurité made in apple !

@David Civera
Tu t'es fait également piraté ton mac car il n'y plus de 'vieux' commentaire?  

@David Civera
Tu t'es fait également piraté ton mac car il n'y plus de 'vieux' commentaire?  

Lol, c'est vrai...

@David Civera
Il se passe quoi avec ce site, tu es passé sous windows ?

des failles aussi grossières sa fait peur.

@sertaki@Guest: Apple fanboy spotted  
Pouvoir changer ou réinitialiser des mots de passe sans devoir entrer un mot de passe admin, c'est juste une faille indéfendable.

Et la longueur du mot de passe ne change rien à partir du moment où on peut remplacer le hash présent dans le fichier par le sien...

En attendant un patch d'Apple, il est prudent de limiter l'accès à dscl :

Terminal > sudo chmod 100 /usr/bin/dscl

Au passage... mieux que Terminal, iTerm2 : http://bit.ly/jouyFO

Et, encore au passage, je signale un raccourci clavier utile : http://osms.fr --> http://www.opensourcemacsoftware.org (pub éhontée mais pas trop, ce site n'étant en rien "concurrent" de l'excellent http://www.presence-pc.com ;-) )

1- en accès physique, à peu près aucun système ne résiste
2- la faille est que le changement se fasse depuis un compte utilisateur
3- bien vu : sudo chmod 700 /usr/bin/dscl # pourquoi root ne pourrait pas le faire ? il suffit alors de faire 'sudo dscl' pour le rendre fonctionnel.
4- "Il n’y a pour l’instant aucune parade." : c'est faux
5- "[...] s’assurer que la machine demande un mot de passe au réveil" : un peu évident pour se protéger ne serait-ce que du vol de données !
6- un article pareil qui fait *buzz* sans même être suffisament décortiqué (merci à apelo015 !) est honteux
7- le réél but d'un article pareil est de décridibiliser la sécurité d'Apple
8- "Il est aussi possible de télécharger un programme qui lance la commande en question et donne le contrôle de la machine à une personne malveillante." : possible même sans avoir aucun droit sur la machine... et ce sous, Windows et Linux aussi
9- et bientôt "une nouvelle faille sur tout les Mac : appuyer sur CMD+S au démarrage et vous êtes root !" - dans ce cas précis, c'est une fonctionnalité pas une faille
10- "Le problème est extrêmement simple à résoudre" mais... "Il n’y a pour l’instant aucune parade", y'a un soucis là ?

@anywr: "sudo chmod 700 /usr/bin/dscl # pourquoi root ne pourrait pas le faire ?"

Que veux-tu dire ? chmod 100 donne les droits d'exécution à root. Pourquoi attribuer des droits en rw en plus ? "Pourquoi pas ?" pourrais-tu me répondre, mais ce serait vil ;-). Je manque qqch ?

C'est pas comme si Apple avait une quelconque crédibilité niveau sécurité.


Ué, ué,... marmotte, toussa... it's not bug, it's feature... Microsoft nous la faisait y a 20 ans, celle-là... doit même y avoir un brevet dessus... vous faites encore partie des 1000 personnes qu'on peut peut tromper 1 fois...

heu... quelle securite?

it's not a bug, it's a feature? ouais, on connait...

Mise a part que sur plusieurs site il est écris que la manip est possible même depuis un compte qui n'a pas les droit d'administrateur

http://hightech.nouvelobs.com/actualites/depeche/201109....

Lol, mais faut un accès physique quand même...
Vais pas me balader avec mon iMac de 20kg chez mon hackeur favori...

ben oui avec un accès physique... le mdp sert aussi (surtout?) à ça, non?
genre tu vas pisser et tu reviens, ton passord a été changé... un peu chiant.

M'en fous, rien à craindre chez moi, lol