Sequoia verbessert Datenschutz: macOS 15 sichert Mitteilungszentrale ab
Mitteilungen am Mac-Bildschirm sind vielseitige Hinweisgeber auf aktuelle Ereignisse: Termine, E-Mails, vollendete Render-Aufträge und neue
MacTechNews-Beiträge melden sich auf Wunsch mit einer interaktiven Einblendung am oberen rechten Bildschirmrand. Diese Nachrichten enthalten oftmals persönliche Informationen. Darum zeigt macOS auf dem Sperrbildschirm meist nur den Hinweis darüber, dass eine Mitteilung vorliegt; deren Inhalt erscheint erst, wenn der entsprechende Anwender sich authentifiziert hat, etwa per Kennwort oder Touch ID. Doch im Dateisystem protokolliert eine Datenbank die Mitteilungen – hier lassen sie sich einfach auslesen.
Die entsprechende Datei liegt unter "/private/var/folders". Darin befinden sich einige mit willkürlichen Buchstabenkombinationen benannte Ordner. In einem von diesen findet sich eine offen zugreifbare Verzeichnisstruktur "0/com.apple.notificationcenter/db2", in der eine Datei namens db residiert. Diese lässt sich mit einem Texteditor (etwa TextEdit oder BBedit) öffnen. Darin finden sich Inhalte früherer Mitteilungen wieder – mit etwas Mühe kann man bekannte Inhalte wiederentdecken, beispielsweise Slack-Nachrichten. Über die Kommandozeile lassen sich zudem detaillierte Informationen zu einzelnen Mitteilungen abfragen. So lieferte auf unserem Test-Mac mit macOS 14.5 der folgende Befehl sämtliche Informationen zur zuletzt angezeigten Mitteilung:
DA=`getconf DARWIN_USER_DIR`; sqlite3 $DA/com.apple.notificationcenter/db2/db "select hex(data) from record order by delivered_date desc limit 1;" | xxd -r -p - | plutil -p -
Die Mitteilungs-Historie liegt in einer ungesicherten Textdatei auf dem Volume; ihr Inhalt lässt sich mit einem gewöhnlichen Texteditor durchforsten. Eine Datenbankabfrage offenbart alle Details einer Mitteilung.
Sequoia verschiebt DatenbankDie Beta-Version von macOS 15 soll nun diese Mitteilungsdatenbank an einen anderen Ort verschoben haben,
berichtet macOS-Sicherheitsexperte Csaba Fitzl. Der neue Ort steht unter Kontrolle des macOS-Zugriffssystems TCC (Transparency, Consent, and Control) und könne somit nicht ohne Weiteres von anderen Programmen per Datenbankabfrage ausgelesen werden. Fitzl freut sich, zeigt sich aber gleichzeitig verwundert, dass es vier Jahre gedauert habe, bis diese Lücke geschlossen wurde.
Nur theoretische Gefahr?Laut eines Kommentars auf X wies Apple eine Meldung im Bug-Bounty-Programm zurück – das Abspeichern der Mitteilungszentrale am bisherigen Ort war kein Fehler, sondern durchaus so gewollt. Während der Entwicklungsphase von macOS Sequoia hat sich Apple offenbar doch umentschieden. Die Sicherheit des Betriebssystems sollte die auslesbare Mitteilungshistorie nicht gefährden – allerdings könnte entsprechend gestaltete Malware sensitive Nutzer-Informationen abgreifen.