В macOS High Sierra 10.13.2, когда я вручную блокирую экран (shift + ctrl + power), а затем нажимаю любую клавишу, чтобы включить его, содержимое экрана, которое отображалось во время блокировки экрана, на короткое время отображается на экране. (что-то вроде 1/30 или 1/60 секунды - я могу измерить его с помощью высокоскоростной камеры, но это не имеет большого значения), прежде чем он, наконец, отобразит интерфейс входа в систему.
Я никогда не видел его до Высокой Сьерры, но теперь я могу воспроизвести это 100% времени. Это действительно раздражает, потому что это может позволить незнакомцу захватывать содержимое экрана, которое было показано непосредственно перед блокировкой экрана.
Я нашел один обходной путь, который далек от совершенства: заблокируйте экран, проснитесь и нажмите «esc», чтобы снова выключить экран. Затем при следующем пробуждении ничего не обнаружено.
Есть ли лучшие обходные пути? Стоит ли сообщать в Apple об ошибке безопасности / конфиденциальности?
Обновление:
если я использую cmd + ctrl + Q, чтобы заблокировать сеанс, как предложено в комментариях, это делает ошибку менее частой, но на самом деле не решает ее. Другими словами, это превращает самоубийственный выстрел в русскую рулетку.
Обновление 2: macOS 10.13.3 также подвержено уязвимости.
Обновление 3: все еще не исправлено в macOS 10.13.4.
Обновление 4: все еще не исправлено в macOS 10.13.4 с обновлением безопасности 2018-001.
Обновление 5: все еще не исправлено в macOS 10.13.5.
Обновление 6: я не уверен на 100%, но, кажется, я видел это снова в macOS 10.13.6.
источник
Ответы:
Да - буфер кадра должен быть очищен / отброшен как часть процесса ожидания / блокировки независимо от того, насколько коротким будет рендеринг. Я не думаю, что это огромный риск, и его можно уменьшить, как вы говорите, выйдя из экрана перед блокировкой или любым другим способом, таким как временные блокировки.
Я бы просто вышел из системы или включил бы быстрое переключение пользователей и переключился бы с экрана вместо того, чтобы блокировать заставку.
Apple публикует страницу с инструкциями о том, как сообщать о проблемах. Если бы это был огромный пробел, я бы попросил вас удалить ветку, но я не думаю, что это серьезно «остановит планету», если нет способа злоупотребить этой «функцией».
https://support.apple.com/en-us/HT201220
источник
product-security@apple.com
, надеюсь, они что-то сделают