Hacker News 의견

• XPC 서비스를 개별적으로 패치하는 것은 이상하며, 이는 샌드박스 자체의 설계 문제로 보임. 많은 XPC 서비스가 샌드박스 앱에서 접근 가능한 이유에 의문을 가짐

  • MacOS는 블랙리스트가 아닌 기능 기반의 Darwin 컨테이너를 가져야 함
  • SBPL(샌드박스 프로파일 언어)이 흥미로움. 관련 정보는 GitHub에서 확인 가능함
  • MacOS에 SBPL을 처리하는 Scheme 인터프리터가 있는지 궁금함
  • "sandbox-exec"가 이를 처리하는 것으로 보임

• 보안 프레임워크가 새로운 문제를 야기하며, 보안이 더 강화되었다고 느끼지 않음

  • 네덜란드 세법처럼 패치의 연속이며, 이미 의식을 가진 것처럼 보임

• XPC 관련 결함이 계속 발견될 가능성이 높으며, Apple이 서비스 강화 접근 방식을 재설계하지 않는 한 지속적인 CVE가 발생할 것으로 예상됨

• 샌드박스를 사랑하면서도 싫어함

  • 샌드박스는 훌륭한 2차 방어선이지만, 대기업은 샌드박스를 탈출하지 못할 때 RCE 수정을 거부하며 주 방어선으로 사용함

• MacOS는 세밀한 권한을 위해 설계되지 않았으며, 기존 Mac OS와 NeXTSTEP 기술 위에 추가할 수 없음

  • 보안 연구자가 아닌 앱 개발자로서 여러 우회를 발견했지만, Apple의 보안 취약점 보고 시스템이 비효율적이라 포기함
  • MacOS는 보안 연극의 희생양이 되었으며, 사용자와 개발자에게 해를 끼치고 있음

• iOS에서도 취약점이 존재하며, 약 20억 대의 활성 기기가 있음

• PID 도메인의 XPC 서비스는 샌드박스 제한을 우회하는 영리한 방법이며, Apple의 패치는 임시방편처럼 보임

  • 샌드박스 상속 방식을 전면적으로 재설계할 필요가 있음

• 샌드박스를 탈출하면 샌드박스가 없는 상태로 돌아가는 것인지, 더 높은 권한 상태로 가는 것인지 궁금함