30秒破解苹果Mac系统密码

Macintosh操作系统常常被认为比Windows习作系统更安全，但近期发现的攻击技术证明这个看法是错的。攻击者只需要一台300美元的设备，就可以完全控制你的Mac台式机或者笔记本。

瑞典黑客和渗透测试员Ulf Frisk发明了一台新设备，仅仅需要30秒，就可以窃取处于休眠或锁定状态的几乎所有Mac电脑的密码，令黑客得以解锁任何Mac电脑并解密其硬盘上的文件。所以，下次当你的苹果电脑无人看管时，务必将其关闭，而不仅仅是让它休眠或者锁定。

攻击者如何窃取你Mac电脑的FileVault2密码

Ulf Frisk利用他今年7月份在苹果的FileVault2全硬盘加密软件上发现的两个设计缺陷，发明了这一攻击技术。

第一个缺陷是，Mac系统在macOS启动之前不能保护自己免受直接内存访问(Direct Memory Access，DMA)攻击。

这是因为MAC可扩展固件接口(Extensible Firmware Interface，EFI;类似于PC的BIOS)允许通过Thunderbolt插入的设备访问内存，而不会触发DMA防护。这使得Thunderbolt设备能读写内存。

第二个缺陷是，即使电脑处于休眠或者锁定状态，经过FileVault加密的硬盘的密码仍被明文储存在内存中。当电脑重启时，密码被储存在固定范围内的多个内存位置，可以被黑客设备读取。

这台价值约300美元的黑客设备被称为PCILeech。利用上述这两个缺陷，它能执行DMA攻击，并在macOS和DMA防护启动前，从Mac电脑的内存获取明文FileVault2密码。

要做到这一点，攻击者只需要对目标Mac电脑短短几分钟的访问，让PCILeech设备通过Thunderbolt端口连接到目标电脑。然后，攻击者就可以完全访问目标电脑上的数据。

FileVault是什么

苹果系统里的一项保密措施。 FileVault 会自动直接地对主目录的内容进行加密和解密。真正的安全感来自知道在没有获得允许的时候，没有人可以翻看你的文件。FileVault 使用最新的政府安全标准来保护你的辛勤劳动成果。FileVault 使用最新的政府安全标准来保护你的辛勤劳动成果。

它保护你主文件夹上的所有信息不被窥测，因此你的商业机密、假期购物单、以及个人财政记录仍然是秘密。FileVault 使用128位高级加密标准 Advanced Encryption Standard 对你主目录下的所有内容进行加密。这个高性能的算法会自动实时加密和解密，因此你甚至不知道它的发生。

---百度百科

MacOS密码破解演示视频{百度搜视频}

Frisk还提供了一个演示视频。这个视频展示了他如何在一台Mac电脑的Thunderbolt端口插入一张刷有他开源PCILeech工具的卡(能在目标苹果台式机或笔记本上运行这个工具)、重启系统、然后从另一台笔记本电脑上读取到Mac电脑的密码。

是的，只有攻击者可以物理访问目标苹果台式机或笔记本电脑时，攻击才能奏效;但攻击奏效只需要30秒。Frisk在周四贴出的博文中说：

“只要能物理访问，任何人——包括但不限于同事、警察、邪恶女佣和小偷——都能访问你Mac电脑上的所有数据;除非Mac电脑被彻底关闭。

休眠状态下的Mac电脑仍是脆弱的。至于被锁定的Mac电脑，插入Thunderbolt设备、强制重启(Ctrl+Cmd+电源)，等不到30秒就可以看到这台电脑的密码了!”

Frisk在八月份向苹果报告了他的发现。苹果在12月13日发布的macOS 10.12.2版本中修复了这两个缺陷。因此，苹果台式机用户需要将操作系统系统升级到最新版本，以确保安全。

AE博客|墨渊