일반 사용자는 어떻게 Mac 펌웨어의 무결성을 쉽게 확인할 수 있습니까?
이 질문을 내리거나 내가 편집증에 대해 강의하기 전에 아무도 그렇게 할 필요가 없다면 아래를 읽으십시오.
2015 년 7 월 CVE-2015-3692 는 원격 공격자가 Mac의 EFI 펌웨어를 해킹 할 수 있다고 발표했습니다. (이에 사용할 수있는 벡터는 다른 CVE에 있지만 악의적 인 가짜 플래시 업데이트 설치 프로그램을 포함하여 가설이 될 수 있습니다.)
이 취약점은 Apple이 7 월 30 일 EFI 펌웨어 보안 업데이트 2015-001 로 OS X 10.8, 10.9 및 10.10을 위해 패치하기 최소 4 주 전에 공개되었습니다 .
이 취약점을 발표 한 동일한 보안 연구원은 또한 펌웨어 해킹 회의에서 제거하거나 덮어 쓸 수없는 데모를 보았다고 주장합니다.
따라서 Mac의 EFI를 소유 한 후 공격자가 올바르게 수행 한 경우 유효한 Apple 펌웨어로 EFI를 다시 플래시하는 유일한 방법은 리플 래서를 로직 보드 자체의 EFI 칩에 직접 연결하는 것입니다 ( 시도 하지 마십시오) 이 집에서).
이 취약점을보고 한 뉴스 기사는 대부분의 사용자가 걱정할 필요가 없으며 자신을 보호하기 위해해야 할 일은 Mac을 잠자기 모드로 전환하지 않고 루트 사용자를 비활성화하거나 사용자를 인증하지 않는 것입니다 100 % 신뢰하지 마십시오. 모든 응용 프로그램의 공식 앱 스토어와 같은 신뢰할 수있는 출처에서 온다면, 당신은 당신이 애플에게 알려진 개발자가 코드 서명 아니에요 아무것도 실행되지 않습니다 : 그 기사에 대한 댓글 스레드는 다음과 같이 그것을 요약 한다 걱정할 필요가 없다.
그러나 2015 년 9 월에 우리 는 공식 iOS 앱 스토어에 수많은 맬웨어 감염 앱이 나타나는 것으로 알려진 XCodeGhost 익스플로잇 에 대해 알게 되었지만 OS X 앱은 어떻습니까? 링크 된 기사에서 Malwarebytes는 다음과 같이 썼습니다.
Wardle은 지난 3 월 Xcode가 이런 종류의 취약점에 취약했지만 두려운 점은 다른 많은 OS X 앱도 지적했다. 이러한 앱은 모두 유사한 공격에 취약 할 수 있습니다.
또한 "일반 사용자가 당황해서는 안된다"는 글을 썼다. 애플 지원 포럼이나 다른 곳에서 사용자가 수많은 이상한 문제에 대해 스레드를 게시 할 때 자주 볼 수있는 것과 같은 진언이다. "드라이브를 다시 포맷하고 시스템을 새로 설치하십시오. 문제는 타사 시스템 수정일 가능성이 높습니다." 그래도 문제가 해결되지 않으면 HDD 장애, GPU 장애 또는 RAM 불량과 같은 하드웨어 문제 여야한다는 메시지가 나타납니다. 사람들이 Mac의 모든 구성 요소를 문자 그대로 대체하는 스레드를 보았습니다. 문제는 항상 다시 나타납니다.
이제 우리는 사용자의 EFI 펌웨어가 해킹 당했을 가능성이 있다는 것을 알고 있습니다. 따라서 메인 보드를 교체하더라도 앱을 다시 설치할 때 펌웨어가 맬웨어에 의해 다시 플래시 될 수 있습니다! 그리고 마더 보드를 교체하지 않으면 무슨 일이 있어도 호스가 연결됩니다.
그것은 다시 주요 질문으로 돌아갑니다.
일반 사용자는 어떻게 Mac 펌웨어의 무결성을 쉽게 확인할 수 있습니까? 즉, Mac 펌웨어가 맬웨어에 의해 손상되지 않았는지 어떻게 확인할 수 있습니까? SIP 비활성화가 필요하지 않은 El Capitan과 호환되는 방법을 찾을 수 없습니다. 이전 OS 버전에는 EFI 내용을 텍스트 파일로 덤프 할 수있는 DarwinDumper라는 복잡한 타사 도구가 있지만이를 비교하려면 유효한 Apple 펌웨어가 있어야합니다. 이는 일반 사용자가 사용하는 방법이 아닙니다 할 수 있습니다.
사람들에게 자신이 희생 될 수있는 것에 대해 걱정하지 말고 그들이 있는지 확인할 방법이 없다고 말하는 것은 이러한 종류의 익스플로잇이 해커에게 이익이 될 수있는 이유입니다. 사용자의 일부.
==
편집 : Apple의 지원 사이트 에서 최신 공식 Apple 펌웨어 설치 프로그램 을 찾았습니다 . 설치 프로그램이 10.10 또는 10.11에서 이상하게 실행되지 않습니다. Pacifist를 사용하여 Macbook Pro 9,1의 .scap 파일을 추출했습니다. 나는 HexFiend의 바이너리를 복구 모드로 재부팅하고 csrutil disable터미널에서 실행 한 후 DarwinDump를 사용하여 뽑은 biosdump와 비교하여 rootless를 비활성화하고 서명되지 않은 kext를 실행할 수 있습니다. 이 BIOS 헤더를 복구했습니다.
$IBIOSI$ MBP91.88Z.00D3.B0B.1506081214Copyright (c) 2005-2015 Apple Inc. All rights reserved.ˇˇˆ´5µ}ñÚC¥î°Îé!¢é_i@Ÿ¯¡Apple ROM Version
BIOS ID: MBP91
Built by: root@saumon
Date: Mon Jun 8 12:14:35 PDT 2015
Revision: svn 39254 (B&I)
Buildcave ID: 6
ROM Version: 00D3_B0B
Apple 헤더의 공식 BIOS :
$IBIOSI$ MBP91.88Z.00D3.B0B.1506081214Copyright (c) 2005-2015 Apple Inc. All rights reserved.ˇˇˆ´5µ}ñÚC¥î°Îé!¢é_i@Ÿ¯¡Apple ROM Version
BIOS ID: MBP91
Built by: root@saumon
Date: Mon Jun 8 12:14:35 PDT 2015
Revision: svn 39254 (B&I)
Buildcave ID: 6
ROM Version: 00D3_B0B
그 외에는 파일이 매우 다르게 보이지만 .scap 파일에는 일종의 압축이 있다고 생각합니다. 적어도 그것은 최신 펌웨어가 설치되어 있음을 알려줍니다. 해킹이 발표 된 후 릴리스되었습니다. 나는 잘 지내요. 그러나 어떤 종류의 체크섬 확인을 통해 내가 괜찮다는 것을 확인할 수있어서 좋을 것입니다! 당신을보고 애플!