Un grave fallo de seguridad desconocido hasta este lunes permite extraer las contraseñas almacenadas dentro del gestor de contraseñas, conocido como "Llavero", de los ordenadores Mac.

La vulnerabilidad, descubierta por el experto en seguridad informática y antiguo trabajador de la Agencia Nacional de Seguridad estadounidense (NSA), Patrick Wardle, sólo requiere que el usuario descargue e instale una aplicación no certificada en el sistema. Una vez instalada, la aplicación es capaz de acceder a cualquier contraseña almacenada en Llavero.

Llavero es una utilidad que permite a los usuarios de MacOS gestionar todas las contraseñas que usa a diario, almacenándolas tras una única clave maestra y compartiéndolas entre los diferentes dispositivos de Apple. Almacena, por ejemplo, las contraseñas de las redes WiFi a las que se conecta el equipo, pero también la información necesaria para acceder a diferentes servicios web, incluido acceso a las paginas web de bancos o proveedores de correo electrónico. Si el usuario ha pedido a MacOS que recuerde sus números de tarjeta de crédito para agilizar las compras en la red, éstos también se encuentran almacenados en Llavero.

El fallo, que Wardle ha mostrado en un vídeo, afecta a todas las versiones recientes de MacOS, incluida High Sierra, que comenzó a distribuirse esta misma semana. El experto en seguridad avisó a Apple a principios de mes de la vulnerabilidad y esperaba que fuese corregida antes del lanzamiento de esta nueva versión pero de momento no existe un parche que solucione el problema.

MacOS está diseñado para disuadir al usuario a la hora de instalar aplicaciones que no cuenten con un certificado de seguridad, pero algunos programas descargados de la red para usos concretos, como la descarga de archivos a través de P2P, no cuentan con ellos. En consecuencia, muchos han aprendido a ignorar estas advertencias y desactivado las medidas de seguridad que el sistema operativo incorpora por defecto y prohiben su ejecución.

Tras conocerse la vulnerabilidad, Apple ha recordado que es importante que los usuarios descarguen sólo aplicaciones que cuenten con certificados de seguridad válidos o que estén disponibles en la tienda de aplicaciones de la compañía, la Mac App Store.