អ្នកស្រាវជ្រាវផ្នែកសន្តិសុខអ៊ិនធឺណិតលោក Linus Henze បានរកឃើញចំនុចខ្សោយមួយនៅក្នុង macOS Mojave Keychain ដែលអាចអនុញ្ញាតឲ្យអ្នកវាយប្រហារលួចយកពាក្យសម្ងាត់ដែលរក្សាទុកនៅក្នុងម៉ាស៊ីន ដោយមិនចាំបាច់មានសិទ្ធិជាអភិបាលឡើយ (administrator)។
នៅក្នុងវិដេអូ លោក Henze បានធ្វើការបង្ហាញអំពីវិធីសាស្ត្រដែលបុគ្គលណាក៏ដោយក៏អាចធ្វើការអាក់សេស (access) ទៅកាន់កន្លែងរក្សាទុកពាក្យសម្ងាត់ដែលស្ថិតនៅក្នុង Apple’s secure vault បានដែរ។ វាមិនមែនជាលើកទី១ទេ ដែលលោក Henze បានរកឃើញចំនុចខ្សោយដែលមាននៅក្នុង iOS និង macOS។
ទោះបីជាយ៉ាងនេះក៏ដោយ ក៏លោក Henze បានធ្វើការបដិសេធន៍ក្នុងការចែករំលែកព័ត៌មានអំពីចំនុចខ្សោយនេះជាមួយក្រុមហ៊ុន Apple ដើម្បីជាការធ្វើបាតុកម្មប្រឆាំងទៅនឹងកម្មវិធី Cupertino Giant’s bounty ។ នេះគឺជាអ្វីដែលបានបាននិយាយនៅក្នុងសេចក្តីប្រកាសនៅក្នុងប្លុករបស់ខ្លួន។
អ្នកស្រាវជ្រាវសន្តិសុខអ៊ិនធឺណិតម្នាក់នេះ គឺមានការថ្នាំងថ្នាក់ជាមួយនឹងក្រុមហ៊ុន Apple ដែលមិនបានដំណើរការកម្មវិធី bug bounty អ្វីទាំងអស់សម្រាប់ macOS របស់ខ្លួន ដែលខុសទាំងស្រុងពី iOS។ ហេតុដូច្នេះហើយ គាត់បាននិយាយថា គាត់នឹងមិនបញ្ចេញព័ត៌មានលំអិតអ្វីទាំងអស់អំពីចំនុចខ្សោយដែលគាត់បានរកឃើញនោះទៅកាន់ក្រុមហ៊ុន Apple ឡើយ។
នៅក្នុងវិដេអូ លោក Henze ក៏បានធ្វើការបង្ហាញអំពីពាក្យសម្ងាត់ត្រូវបានអាក់សេស ទោះបីជាជាបញ្ជីគ្រប់គ្រងការអាក់សេស (Access Control lists) ត្រូវបានបង្កើតឡើង និងការ វាយលុកចូលនោះក៏អាចទៅរួចផងដែរ ទោះបីជាមានការដំណើរការមុខងារ System Integrity Protection។
គឺមានតែ macOS Mojave Keychain ប៉ុណ្ណោះដែលរងគ្រោះដោយចំនុចខ្សោយនេះ។
ដើម្បីការពារខ្លួនអ្នក អ្នកអាចប្រើពាក្យសម្ងាត់បន្ថែមមួយទៀតសម្រាប់ keychain។ ក៏ប៉ុន្តែ ការដែលចងភ្ជាប់បញ្ចូលគ្នារវាង keychain នៅក្នុង macOS នឹងបណ្តាលឲ្យមានការចេញផ្ទាំង (popups) ជាច្រើន នៅពេលដែល keychain ត្រូវបានបង្កើនសុវត្ថិភាពជាមួយនឹងពាក្យសម្ងាត់មួយជាន់ទៀត។
នៅពេលដែលក្រុមហ៊ុនដូចជា Google, Facebook និង Tesla មានកម្មវិធី bug bounty របស់ខ្លួនសម្រាប់ផលិតផលនានានោះ ក្រុមហ៊ុន Apple គឺជាក្រុមហ៊ុនអ្នកមានមួយដែលមិន មានកម្មវិធីនេះសោះសម្រាប់ប្រព័ន្ធប្រតិបត្តិការរបស់ខ្លួន៕
