Anche Mac OS X ha una falla nel sistema di sandboxing, simile a quella scoperta da Charlie Miller riguardante iOS. A scoprirlo stavolta sono stati Annibal Sacco e Matias Eissler di CoreLabs Research. Anche in questo caso un'applicazione potrebbe riuscire a compiere azioni teoricamente non permesse dalla sandbox, mettendo potenzialmente in pericolo il computer e le informazioni che contiene.
Secondo quanto descritto dai ricercatori un'applicazione potrebbe sfruttare un Apple Event - un'azione del sistema operativo usata dagli sviluppatori, come per esempio "apri file" o "stampa" - per eseguire azioni teoricamente bloccate.
Schema del difetto nella Sandbox Apple
"L'uso di Apple Event è possibile nell'ambito dei diversi profili predefiniti senza rete, senza Internet (kSBXProfileNoNetwork, kSBXProfileNoInternet) e altri. Un'applicazione compromessa che in teoria non può usare la rete potrebbe accedere alle risorse di rete usando un Apple Event e richiamare l'esecuzione di altre applicazioni non direttamente limitate dalla sandbox".
"Come fa notare la documentazione di Apple, le applicazioni che richiedono l'invio di comandi (Apple Event) ad altre applicazioni non si possono sviluppare con il sandboxing, perché alcuni strumenti per sviluppatori limitano gli Apple Event. La ragione è che, come abbiamo dimostrato, un processo può uscire dalla Sandbox attivando un evento", spiegano i ricercatori.
###old1049###old
In altre parole il processo di sandboxing - che Apple renderà obbligatorio per tutto il software distribuito tramite il Mac App Store - non è sicuro quanto dovrebbe. Un problema più che rilevante, perché questo approccio alla programmazione impone molti limiti agli sviluppatori e alla versatilità delle applicazioni, proprio in cambio di una maggiore sicurezza. Un principio che, a quanto pare, per ora resta del tutto teorico.
Una falla simile in Mac OS X era stata trovata da Miller dal 2008, ma le similitudini finiscono qui. Tre anni fa infatti Apple aveva risposto subito alla possibile minaccia, modificando il sistema operativo. Questa volta invece l'azienda ha deciso di non intervenire; secondo gli esperti Apple il problema infatti non sarebbe critico, ma i ricercatori non sono d'accordo. E così questo avviso è stato pubblicato con l'etichetta "user release", cioè rivolto direttamente agli utenti.
Una scelta che ha acceso lo spirito critico di Alex Horan, dirigente di CoreLabs Research. "I venditori di tecnologia si possono nascondere dietro al Caveat Emptor (il cliente è responsabile di ciò che compra, e non può rifarsi sul venditore, vedi Wikipedia) - e secondo me non è una valida ragione per lasciare irrisolti problemi noti", scrive infatti sul blog aziendale.
La mela sembra allegra
Resta quindi più aperto che mai il dibattito sul sandboxing e sulla sua utilità . Dal punto di vista dell'utente si ottiene una maggiore sicurezza solo da un punto di vista teorico, mentre è certo che le applicazioni sono meno flessibili e potenti. Per gli sviluppatori il lavoro è più complesso, ed è di fatto impossibile realizzare alcune specifiche azioni. Ha funzionato molto bene per iOS - almeno fino ad oggi - ma non è detto che sarà lo stesso per Mac OS X.
Il pericolo per chi usa un Mac al momento è del tutto ipotetico. La ricerca di Sacco ed Eissler a oggi ha un valore del tutto accademico. Tra un anno o poco più però il Mac App Store permetterà solo applicazioni sandboxate, e sarà anche la principale piattaforma per la distribuzione di software su questo sistema operativo. Apple sarà pronta?