Après la mise à jour 10.11.1, je n'arrive pas à accéder à certaines des données cryptées stockées dans mes trousseaux de clés avec Keychain Access.app . Plus particulièrement, je ne peux pas voir ou copier les mots de passe stockés.
Normalement, pour le faire, vous devriez.. :
- déverrouiller un trousseau avec le mot de passe du trousseau ;
- déverrouiller un objet lui-même avec le mot de passe du trousseau.
Lors de la 2e étape, lorsque le mot de passe est tapé, vous pouvez sélectionner 2 options : "Autoriser" et "Toujours autoriser". La différence est que si vous cliquez sur "Toujours autoriser", vous n'aurez plus à effectuer la deuxième étape pour cet élément.
Voici quelques éléments que j'ai pu détecter :
- si j'avais cliqué sur "Toujours autoriser" sur un élément avant la mise à jour d'OS X, je peux y accéder entièrement ;
- si je n'ai pas cliqué sur "Toujours autoriser", je ne peux pas copier le mot de passe à partir du menu de clic droit, ni le voir en cochant la case "Afficher le mot de passe" sur l'écran d'information.
- si j'ajoute un nouvel élément, je ne peux pas copier le mot de passe à partir du menu de clic droit, mais je peux toujours le voir sur l'écran d'information.
J'obtiens ce qui semble être la plupart des données complètes du trousseau en utilisant la commande suivante (bien que je ne sois pas sûr que tout soit là) :
security dump-keychain -d elmigranto.keychainUPD : Après plus de travail de détective, j'ai trouvé le message suivant apparaissant dans Console.app lorsque je clique sur un élément de la boîte de dialogue du mot de passe :
26.10.15 10:19:52,345 SecurityAgent[770]: Ignoring user action since the dialog has received events from an untrusted sourceUPD2 : Je suis presque sûr que c'est causé par HT205375 qui, entre autres changements, énumère les éléments suivants :
SecurityAgent
Disponible pour : OS X El Capitan 10.11
Impact : Une application malveillante peut contrôler par programmation les invites d'accès au trousseau de clés.
Description : Il existait une méthode permettant aux applications de créer des clics synthétiques sur les invites du trousseau de clés. Ce problème a été résolu en désactivant les clics synthétiques pour l'accès au trousseau de clés de Windows.
CVE-ID
CVE-2015-5943
