La plupart des caches système ne nécessitent pas d’effacement régulier, mais certains caches peuvent avoir des inconvénients, tels que le cache Quick Look sur macOS. Le cache peut divulguer des aperçus de fichiers à partir de disques cryptés.
Contenu
Pourquoi devriez-vous vider le cache Quick Look sur macOS
Le cache Quick Look peut finir par stocker des aperçus de fichiers cryptés dans un cache non crypté. En conséquence, un espion suffisamment informé pourrait afficher des aperçus de vos fichiers cryptés sans décrypter les fichiers eux-mêmes. L’effacement fréquent du cache peut être recommandé à l’utilisateur concerné par la sécurité.
Le service principal de Quick Look est « com.apple.quicklook.ThumbnailsAgent ». Cela explore le système et génère des aperçus. Ces vignettes sont stockées dans une base de données SQLite à laquelle tout utilisateur peut accéder. Ce cache stocke les aperçus de tous les fichiers, qu’ils aient ou non été visualisés par Quick Look.
Le cache se trouve dans « /var/folders ». À partir de là, vous devrez creuser un peu pour localiser le dossier nommé « com.apple.QuickLook.thumbnailcache » comme indiqué ci-dessous.
Est-ce un problème?
Toute fuite de données cryptées est indésirable. Ce problème concerne principalement les images. Ils peuvent révéler des données même à des tailles réduites. Les images qui n’ont pas été prévisualisées avec Quick Look auront 128 pixels sur le côté le plus long. Les images vues en cache seront plus proches du triple.
Les fichiers non-image auront une vignette de leur icône du Finder enregistrée. C’est quelque chose comme la page courbée avec un aperçu pour un fichier TXT ou RTF. Vous pouvez voir un exemple de ce type d’aperçu en cache ci-dessous.
Selon le chercheur en sécurité qui a récemment écrit sur cette vulnérabilité, les vignettes persistent même après la suppression des fichiers. De plus, les aperçus Quick Look sont enregistrés pour les clés USB après leur suppression. En tant que tel, brancher une clé USB sur un Mac laisse des traces détectables après le retrait de la clé. Ainsi, même si le fichier parent n’est pas actuellement accessible par le système, l’aperçu peut révéler des données le concernant.
Effacer le cache Quick Look sur macOS
1. Ouvrez Terminal à partir de « /Applications/Utilitaires/Terminal.app » ou en tapant le nom de l’application dans Spotlight.
2. Collez la commande suivante ci-dessous dans Terminal, puis appuyez sur la touche « Entrée » pour l’exécuter. Cela arrêtera immédiatement le service Quick Look et supprimera les fichiers mis en cache.
Désactiver le cache Quick Look sur macOS
La commande ci-dessus videra le cache Quick Look. Cependant, s’il fonctionne, le cache recommencera immédiatement à accumuler des fichiers, quel que soit leur statut de cryptage.
Pour résoudre ce problème, vous pouvez désactiver définitivement le cache. Cela peut ralentir légèrement Quick Look, mais cela contournera la vulnérabilité existante. Pour désactiver définitivement le cache Quick Look, exécutez la commande Terminal ci-dessous :
Si vous souhaitez réactiver le cache Quick Look, utilisez la commande enablecache à la place de disablecache.
Conclusion
Cette vulnérabilité pourrait éventuellement être corrigée par Apple. Cependant, Apple l’a laissé là assez longtemps pour que les spécialistes en informatique légale y voient une méthode fiable pour exfiltrer des images. Pour plus de sécurité, vous pouvez exécuter ce processus régulièrement sous un script récurrent ou manuellement après avoir retiré les périphériques USB.
Cet article est-il utile ? Oui Non
