T1555.002: Securityd 内存

摘要

具有 root 访问权限的攻击者可能通过读取 `securityd` 的内存来收集凭据。`securityd` 是负责实现加密和授权等安全协议的服务/守护进程。(Citation: Apple Dev SecurityD) 具有特权的攻击者可能能够扫描 `securityd` 的内存，以找到解密用户登录钥匙串的正确密钥序列。这可能为攻击者提供各种明文密码，例如用户、WiFi、邮件、浏览器、证书、安全笔记等的密码。(Citation: OS X Keychain)(Citation: OSX Keydnap malware) 在 El Capitan 之前的 OS X 中，具有 root 访问权限的用户可以读取已登录用户的明文钥匙串密码，因为 Apple 的钥匙串实现允许缓存这些凭据，以避免反复提示用户输入密码。(Citation: OS X Keychain)(Citation: External to DA, the OS X Way) Apple 的 `securityd` 实用工具获取用户的登录密码，使用 PBKDF2 对其进行加密，并将此主密钥存储在内存中。Apple 还使用一组密钥和算法来加密用户的密码，但一旦找到主密钥，攻击者只需遍历其他值即可解锁最终密码。(Citation: OS X Keychain)