Sí. Si usted habilitar inicio de sesión automático, el llavero de la contraseña se almacena en /etc/kcpassword el uso de cifrado XOR, que puede ser decodificado con facilidad. Se necesitan privilegios de root para leer.
sudo ruby -e 'key = [125, 137, 82, 35, 210, 188, 221, 234, 163, 185, 31]; IO.read("/etc/kcpassword").bytes.each_with_index { |b, i| break if key.include?(b); print [b ^ key[i % key.size]].pack("U*") }'
Incluso si el inicio de sesión automático se deshabilita, la contraseña de inicio de sesión se puede restablecer en modo de usuario único. No cambiar la contraseña del llavero de inicio de sesión, aunque. Si alguien inicia sesión en tu cuenta después de restablecer la contraseña de inicio de sesión, se puede acceder a la mayoría de sus archivos normalmente, pero no podían entrar en tu cuenta en el Correo o en el uso de auto-llenado en Safari. Si el inicio de sesión automático se habilita, se podía ver sus contraseñas con algo como security find-internet-password -s accounts.google.com -w y el uso de Correo y de auto-llenado.
Hubo una vulnerabilidad cuando el inicio de sesión automático fue habilitado:
Según un líder de software de recuperación de contraseña de desarrollador de Passware, su contraseña podría ser fácilmente accesible a través de el acceso directo a la memoria asociado con la Mac del puerto FireWire.
Parece que al permitir el "inicio de sesión automático" cuentan con el puerto FireWire en tu Mac, abre la puerta para no autorizado de la contraseña de recuperación. Parece que este es un problema que ha plagado a Snow Leopard así, pero tal como está no se ve como hay alguna solución para que, además de la desactivación de "inicio de sesión automático" y el gasto extra o dos segundos de escribir su contraseña.
El hash de la contraseña de inicio de sesión (que suele ser también la contraseña del llavero de inicio de sesión) se almacena en /private/var/db/dslocal/nodes/Default/users/username.plist en 10.7 y 10.8. En 10.7 incluso relativamente complejas contraseñas podría ser roto con DaveGrohl, pero 10.8 cambiado a PBKDF2, lo que lo limita a unos 10 conjeturas por segundo por cada núcleo.
