Fortalecimiento de la seguridad de la máquina del tiempo

Actualización después de la discusión con bmike (ver más abajo)

Durante una copia de seguridad real de Time Machine, la copia de seguridad monta dos recursos compartidos. /Volumes/Whatever y /Volumes/Time Machine Backups. Mientras que el primero no puede ser accedido por un usuario que no sea root, el segundo sí puede. De hecho, es posible borrar las ACL de los archivos y sobrescribirlos posteriormente. Así que el tema de la seguridad está abierto de par en par.

respuesta original

Pensando un poco más en el sistema de montaje subyacente, llegué a la conclusión de que mi pregunta original contenía una suposición equivocada, cuya eliminación quizás haga que la pregunta quede obsoleta. Decidí escribir una respuesta en lugar de eliminar la pregunta en beneficio de los igualmente equivocados.

Cuando verifiqué los permisos de mis archivos sparsebundle, monté manualmente el disco Time Capsule. Debido a que monté el disco como un usuario normal, este usuario se convirtió en el propietario del punto de montaje (verificando en la terminal, puedo ver que mi cuenta de usuario es el propietario del punto de montaje, siendo "personal" el grupo).

Ahora mi suposición (que no era transparente para mí) era que si Time Machine monta el disco durante una sesión de copia de seguridad, estaría presente en el sistema como si lo montara manualmente. Pero esto está mal. Dado que la copia de seguridad se ejecuta como raíz, el punto de montaje pertenece a la raíz (verificando en la terminal, el propietario es "raíz", el grupo es "rueda", el grupo y el mundo no tienen derechos) y por lo tanto un proceso que pertenece a una normal el usuario no podría cifrar archivos en un disco de Time Machine montado por copia de seguridad .

Por lo tanto, en una configuración de Time Capsule no parece haber, por el momento, el peligro de un ransomware para cifrar la copia de seguridad. Sin embargo, podría ser diferente con un disco duro externo conectado localmente. Recuerdo vagamente que cuando todavía usaba un disco duro externo, podía ver la partición de Time Machine montada en Finder (algo que no veo ahora) y, por lo tanto, podría estar montada con derechos de usuario. No puedo probar esto, ya que no tengo un disco duro externo de máquina del tiempo, pero tal vez alguien más pueda decir algo al respecto.

Las copias de seguridad de Time Machine están protegidas principalmente por ACL que niega el permiso para que cualquier persona escriba en un archivo.

$ ls -le /Volumes/Whatever/Backups.backupdb/Mac/Latest/Macintosh\ HD/Users/me/Desktop/file.text 
-rw-r--r--@ 1 me    staff  - 14 Mar  8 11:54 /Volumes/Whatever/Backups.backupdb/Mac/Latest/Macintosh\ HD/Users/me/Desktop/file.text
0: group:everyone deny write,delete,append,writeattr,writeextattr,chown

Para que un programa malicioso cambie un archivo en el subsistema de respaldo, primero necesitaría leer y eliminar cualquier ACL y luego podría realizar un cambio en un archivo que está almacenado en el directorio de Time Machine.

$ chmod -a# 0 /Volumes/Whatever/Backups.backupdb/Mac/Latest/Macintosh\ HD/Users/me/Desktop/file.text 

Después del comando anterior, el archivo está abierto a modificaciones o eliminación total.

El código del programa no necesitaría ningún acceso raíz especial, solo que se ejecutó con un usuario administrador normal para realizar este cambio y luego poder escribir en los archivos.

Ni el sandboxing ni la Protección de integridad del sistema evitarían que cualquier proceso malicioso que se ejecute como administrador cifre/modifique/elimine archivos de datos de usuario en una unidad de copia de seguridad que se pueda montar (unidades de red) o que esté conectada y ya montada.

Para fortalecer sus copias de seguridad, necesitaría tener una copia fuera de línea de una forma u otra, suponiendo que el mal actor sepa verificar y modificar/eliminar ACL antes de que lo manipule.

Revisaría las opciones de encriptación para proteger algunos archivos que no puede permitirse un programa aleatorio para reducir y, opcionalmente, no almacenar su clave de encriptación para un segundo volumen de respaldo en su llavero.

• ¿Cifrar/proteger la unidad de copia de seguridad de Time Machine?

De esa forma, el primer destino de la copia de seguridad podría ejecutarse con frecuencia pero ser vulnerable al malware. El segundo destino le avisará cada dos semanas más o menos que está desactualizado si no lo monta e inicia una copia de seguridad más manual.

No es lo ideal, pero presumiría que Apple podría rediseñar el sistema si este riesgo potencial se convierte en un riesgo real con el tiempo en OS X. lo más probable es que Apple prohíba que se ejecute en máquinas que opten por la protección Gatekeeper. En este caso, parece que tomó menos de 48 horas desde el anuncio público de la amenaza al remedio para desactivarlo disponible en Apple.