Wie sichere ich die Zwischenablage von macOS?

Kann eine Drittanbieter-App auf die Inhalte der Zwischenablage von macOS zugreifen? Ich frage in Bezug auf das Kopieren und Einfügen vertraulicher Daten wie Passwörter und vertraulicher Dateiinhalte.

macos copy-paste

— hallo.wjx
quelle

Willkommen bei Ask Different. Leider enthält Ihre Frage nicht genügend Details, damit wir Ihnen helfen können. Das Lesen, wie man eine Frage stellt, kann Ihre Chancen verbessern, eine gute Antwort zu erhalten. Können Sie Ihre Frage vorerst bearbeiten ( darunter befindet sich ein Bearbeitungslink ), um Informationen hinzuzufügen, z. B.: (1) Welche Version von macOS verwenden Sie? (2) Wenn Sie mit macOS Sierra arbeiten, beziehen Sie sich nur auf die normale Zwischenablage, die universelle Zwischenablage oder beides? (3) Was meinen Sie damit, wenn Sie sich auf eine Drittanbieter-App beziehen ?

— Monomeeth

Anstatt dies als zu weit gefasst zu schließen, habe ich Ihre Follow-on-Frage entfernt. Bitte lesen Sie Hilfe und die Kommentare oben vor der Frage , wie die Zwischenablage zu ändern. Auf diese Weise können wir Fragen auf Codeebene auf eine geeignete Site migrieren, wenn Sie etwas programmieren möchten, anstatt das Betriebssystem zu konfigurieren.

— bmike

Zum einen können Sie unter macOS definitiv nichts kopieren und in ein Passwortfeld

— einfügen

@dalearn Genauer gesagt können Sie IN ein Kennwortfeld einfügen, aber nicht aus einem Kennwortfeld kopieren. Ich weiß, dass ich häufig Passwörter von Keychain Access in Passworteingabefelder kopiert habe.

— Barmar

Das ist eine berechtigte Frage. Es spielt keine Rolle, welche Version von OS X / macOS. Die Bedeutung von Dritten ist für jeden sehr klar.

— Pratik

Antworten:

Es ist keine Sicherheit für Daten möglich, die sich in einer der System-Zwischenablagen befinden.

Die macOS-Zwischenablage ist eine öffentliche Werbetafel, die allen Prozessen offen steht. Die Zwischenablage ist der Mechanismus, mit dem alle Apps freigegebene Daten lesen / ändern können.

Praktisch können Sie entweder Ihre installierten Apps auf diejenigen beschränken, denen Sie mit den Daten vertrauen, die Sie in die Zwischenablage gestellt haben, oder vertrauliche Inhalte nicht einschränken, indem Sie sie niemals in die Zwischenablage legen, sodass die am wenigsten vertrauenswürdige App nur Daten erhält, die Sie zulassen können Siehe / log / capture / exfiltrate.

Von hier aus beginnt das Kaninchenloch für Entwickler und sicherheitsbewusste Benutzer von macOS mit einem Überblick über sichere Texteingabeoptionen in Programmen, um zu verhindern, dass Key Logger und Pasteboard-Snoopers sichere Eingaben erhalten:

Technischer Hinweis TN2150: Faire Verwendung von sicheren Ereignissen
unsichere Tastatureingabe - ein Blogbeitrag von Daniel Jalkut
Wie sicher ist "Secure Keyboard Entry" im Mac OS X-Terminal?

Es gibt jedoch einige Dinge, die Sie tun können, um dies zu mildern. Frei verfügbare und vertrauenswürdige Software kann Ihnen Ereignisabgriffe, Schlüsselprotokollierer, Exfiltration und nur Kommunikationsversuche anzeigen, sodass Sie ein Programm abrufen können, das möglicherweise Dinge tut, die Sie nicht erwarten.

ReiKey und LuLu sind zwei, mit denen ich beginnen würde, um sich und damit den Inhalt Ihrer Zwischenablage zu sichern.

— bmike
quelle

@SargeBorsch Dafür sind Passwortmanager im Allgemeinen gedacht. Ich gehe davon aus, dass es sichere Passwort-Manager für Mac OS gibt. Ich erwarte jedoch auch, dass Anwendungen mit derselben oder einer höheren Berechtigungsstufe auch ihre Methoden abfangen können.

— Luaan

@SargeBorsch - Selbst unbeabsichtigte Sicherheitslücken bleiben bei Open Source unbemerkt, geschweige denn bei böswilligen Hintertüren und Trojanern. Die Vorstellung, dass jeder alte Benutzer in der Lage ist, den Code einer nicht trivialen Software, die er verwendet, zu überprüfen und ihn dann auf seinem Computer zu erstellen, sobald bekannt ist, dass er sicher ist - natürlich nachdem er dies für den Compiler getan hat -, ist absolut lächerlich und im Widerspruch zur tatsächlichen Praxis. (Das heißt, Sie verwenden Paket-Repositorys mit signierten Paketen, was bedeutet, dass Sie implizit den Mitwirkenden einer Distribution vertrauen, um dies für Sie zu

— erledigen

@SargeBorsch: Sehen Sie Ken Thompsons unglaublich brillante (und erschreckende) Dankesrede / Vortrag zum Turing Award und deren Diskussion im Wiki .

— Jörg W Mittag

@ JörgWMittag Wie hängt das mit Passwort-Managern zusammen? Versuchen Sie zu beweisen, dass die Qualität / Verfügbarkeit des Quellcodes anderer Software keine Rolle spielt , da Betriebssystem, CPU, Compiler usw. möglicherweise gehackt werden?

— Anzeigename

@Wowfunhappy Ein Nur-Text-Passwort bedeutet, dass Sie den physischen Zugriff auf Ihren Mac sichern und allen Apps vertrauen müssen, die die Zwischenablage lesen. Wenn Ihr Bedrohungsmodell darin besteht, dass Sie Ihren Apps und Ihrem Zugriff nicht vertrauen, müssen Sie UBIKEY oder Multi-Faktor-Authentifizierung verwenden und davon ausgehen, dass das Kennwort verloren geht. Alles ist ein Risiko und ob es weit offen ist, hängt von Ihrem spezifischen Bedrohungsmodell ab.

— bmike

Jeder Prozess mit ausreichenden Berechtigungen kann Ihre Zwischenablage jederzeit lesen, und Sie können dies nicht einfach verhindern. Sicherheit ist immer ein Kompromiss mit der Benutzerfreundlichkeit, und dies ist die Wahl, die die meisten (aber nicht alle) Betriebssysteme bei der Implementierung der Zwischenablage treffen.

Einige Apps, die vertrauliche Daten speichern (z. B. 1Password ), implementieren eine Zeitüberschreitung, sodass alle Informationen, die Sie aus dieser Anwendung kopieren, kurze Zeit später aus der Zwischenablage gelöscht werden. Wenn Sie so etwas global tun möchten, können Sie die Antworten auf diese vorherige Frage nach Ideen durchsuchen.

— calum_b
quelle

Ein großartiger Punkt: Wenn Sie bekannte vertrauliche Inhalte in einem Timer löschen, begrenzen Sie den Zeitraum, in dem ein weniger vertrauenswürdiger Prozess gestartet und Text aus der Zwischenablage abgerufen werden kann. Dies verringert auch das Risiko, dass jemand von einem Computer weggeht und das Passwort hat, um es Stunden später in Twitter oder andere soziale Medien einzufügen.

— bmike