T1555.001: 钥匙串

摘要

攻击者可能从钥匙串（Keychain）获取凭据。Keychain（或 Keychain Services）是 macOS 的凭据管理系统，存储账户名、密码、私钥、证书、敏感应用程序数据、支付数据和安全笔记。钥匙串有三种类型：登录钥匙串（Login Keychain）、系统钥匙串（System Keychain）和本地项目（iCloud）钥匙串（Local Items (iCloud) Keychain）。默认钥匙串是登录钥匙串，它存储用户密码和信息。系统钥匙串存储操作系统访问的项目，例如主机上用户之间共享的项目。本地项目（iCloud）钥匙串用于与 Apple iCloud 服务同步的项目。 钥匙串可以通过钥匙串访问（Keychain Access）应用程序或使用命令行实用工具 <code>security</code> 查看和编辑。钥匙串文件位于 <code>~/Library/Keychains/</code>、<code>/Library/Keychains/</code> 和 <code>/Network/Library/Keychains/</code>。(Citation: Keychain Services Apple)(Citation: Keychain Decryption Passware)(Citation: OSX Keychain Schaumann) 攻击者可能从钥匙串存储/内存中收集用户凭据。例如，命令 <code>security dump-keychain –d</code> 将从 <code>~/Library/Keychains/login.keychain-db</code> 转储所有登录钥匙串凭据。攻击者还可能直接从 <code>~/Library/Keychains/login.keychain</code> 文件读取登录钥匙串凭据。这两种方法都需要密码，其中登录钥匙串的默认密码是当前用户登录 macOS 主机的密码。(Citation: External to DA, the OS X Way)(Citation: Empire Keychain Decrypt)