La mayoría de los cachés del sistema no requieren una limpieza regular, pero algunos cachés pueden tener inconvenientes, como el caché Quick Look en macOS. El caché puede filtrar vistas previas de archivos de discos encriptados.
Por qué debería borrar la memoria caché de vista rápida en macOS
El caché de Quick Look puede terminar almacenando vistas previas de archivos cifrados en un caché sin cifrar. Como resultado, un fisgón suficientemente informado podría ver vistas previas de sus archivos cifrados sin descifrar los archivos en sí. Es posible que se recomiende borrar la memoria caché con frecuencia al usuario preocupado por la seguridad.
El servicio principal de Quick Look es «com.apple.quicklook.ThumbnailsAgent». Esto rastrea el sistema y genera vistas previas. Estas miniaturas se almacenan en una base de datos SQLite a la que cualquier usuario puede acceder. Este caché almacena vistas previas de todos los archivos, ya sea que hayan sido vistos o no por Quick Look.
El caché se puede encontrar dentro de «/var/folders». A partir de ahí, deberá buscar un poco para ubicar la carpeta llamada «com.apple.QuickLook.thumbnailcache», como se ve a continuación.
¿Es esto un problema?
Cualquier fuga de datos cifrados es indeseable. Este problema es principalmente una preocupación por las imágenes. Pueden revelar datos incluso en tamaños reducidos. Las imágenes que no hayan sido previsualizadas con Quick Look tendrán 128 píxeles en el lado más largo. Las imágenes vistas en caché estarán más cerca del triple.
Los archivos que no sean imágenes tendrán guardada una miniatura de su icono de Finder. Esto es algo así como la página curvada con una vista previa de un archivo TXT o RTF. Puede ver un ejemplo de ese tipo de vista previa en caché a continuación.
De acuerdo con la investigador de seguridad quien escribió más recientemente sobre esta vulnerabilidad, las miniaturas persisten incluso después de que se eliminan los archivos. Además, las vistas previas de Quick Look se guardan para unidades USB después de su eliminación. Como tal, conectar una unidad USB a una Mac deja rastros detectables después de que se extrae la unidad. Por lo tanto, incluso si el sistema no puede acceder actualmente al archivo principal, la vista previa puede revelar datos al respecto.
Borrar la memoria caché de vista rápida en macOS
1. Abra Terminal desde “/Aplicaciones/Utilidades/Terminal.app” o escribiendo el nombre de la aplicación en Spotlight.
2. Pegue el siguiente comando a continuación en la Terminal, luego presione la tecla «Enter» para ejecutar. Esto detendrá inmediatamente el servicio Quick Look y eliminará los archivos almacenados en caché.
Deshabilitar Quick Look Cache en macOS
El comando anterior vaciará el caché de Quick Look. Sin embargo, si se deja funcionar, la memoria caché comenzará a acumular archivos nuevamente, independientemente de su estado de cifrado.
Para solucionar esto, puede deshabilitar permanentemente el caché. Esto puede ralentizar un poco Quick Look, pero solucionará la vulnerabilidad existente. Para deshabilitar el caché de Quick Look permanentemente, ejecute el siguiente comando de Terminal:
Si desea volver a activar la memoria caché de Quick Look, use el enablecache comando en lugar de disablecache.
Conclusión
Esta vulnerabilidad puede ser parcheada por Apple eventualmente. Sin embargo, Apple lo ha dejado allí durante el tiempo suficiente para que los especialistas en informática forense lo vean como un método confiable para filtrar imágenes. Para mayor seguridad, puede ejecutar este proceso regularmente bajo un script recurrente o manualmente después de quitar los dispositivos USB.