QuickLook, die Funktion in macOS, die per Druck auf die Leertaste Dokumente in einer Voransicht aufruft, enthält eine Sicherheitslücke. QuickLook speichert die erzeugten Thumbnails auch von zuvor verschlüsselten Dateien unverschlüsselt in einem bestimmten Bereich. Das fand der Sicherheitsforscher Wojciech Regula heraus. Seinen Erkenntnissen hat sich nun der Blog The Hackers News ausführlich gewidmet.


Funktioniert selbst bei gelöschten Dateien
Durch die Lücke können verschlüsselte Inhalte von Eindringlingen, die wissen, wo sie suchen müssen, aufgespürt werden. Die Voransicht muss dafür jedoch für die gesuchte Datei schon einmal aufgerufen worden sein. Denn erst dann speichert macOS zumindest einen Ausschnitt des Dokumentes in seiner Thumbnail-Datenbank, die unverschlüsselt immer am selben Platz des Systems liegt: Im User-Verzeichnis. So kann jeder Code, der im User-Kontext läuft, darauf zugreifen. Die Voransichten bestehen in der Datenbank permanent, sodass sie sogar einsehbar bleiben, wenn die betreffende Originaldatei bereits gelöscht wurde.

Regula gelingt Nachweis
Anhand von zwei Fotos erklärt Regula den Mechanismus. Er speichert die Bilder in zwei von einander getrennten, verschlüsselten Containern. Das eine JPEG sichert der Forscher mittels VeraCrypt, das andere mithilfe der Onboard-Verschlüsselung Encrypted HFS+/APFS. Mit einem SQLite Browser und ein paar Befehlen findet er die Thumbnails im System und ruft die Voransichten über ein modifiziertes Python-Skript auf. Natürlich tauchen die Bilder nicht in der vollen Auflösung auf, groß genug jedoch, um zu erkennen, was abgebildet ist: Im Beispiel hat QuickLook die originalen 1920x1080 Pixel des Beispielbilds auf 336 x 182 Pixel runtergerechnet.

Lösung ist einfach
Für Apple wäre das Problem relativ einfach zu lösen, führt der Programmierer Patrick Wardle aus, der sich der Lücke auf seinem Blog etwas intensiver gewidmet hat. Zum einen könnte Apple einen Mechanismus einbauen, der, sollte die Originaldatei in einem verschlüsselten Container liegen, die Erstellung einer Voransicht verhindert. Zum anderen dürfte ein automatisches Löschen des Caches nach dem Auswerfen des verschlüsselten Laufwerks das Problem ebenfalls lösen. Wardle empfiehlt bis dahin den QuickLook Cache händisch zu löschen, nachdem man einen verschlüsselten Container ausgeworfen hat. Dazu verwendet man den Terminalbefehl $ qlmanage -r cache – wer anschließend das System rebootet, zwingt macOS dazu, eine neue Datenbank zu erstellen.