System Caches ส่วนใหญ่ไม่ต้องล้างเป็นประจำ แตบาง Cache มีข้อเสีย เช่น Quick Look Cache บน macOS Cache อาจรั่ว Previews ของไฟล์จาก Encrypted Disks
ทำไมควรล้าง Quick Look Cache บน macOS
Quick Look Cache อาจเก็บ Previews ของ Encrypted Files ไว้ใน Cache ที่ไม่ได้เข้ารหัș ผลคือ Snoop ที่รู้จักมากพอ อาจดู Previews ของ Encrypted Files ของคุณได้โดยไม่ต้อง Decrypt ไฟล์เอง การล้าง Cache บ่อยๆ อาจแนะนำให้ User ที่กังวลเรื่อง Security
Primary Service ของ Quick Look คือ "com.apple.quicklook.ThumbnailsAgent" มัน Crawl ระบบและสร้าง Previews Thumbnails เหล่านี้เก็บใน SQLite Database ที่ User ใดๆ เข้าถึงได้ Cache นี้เก็บ Previews สำหรับไฟล์ทั้งหมด ไม่ว่าจะเคยดูด้วย Quick Look หรือไม่
Cache อยู่ใน "/var/folders" ต่อจากนั้นคุณต้องขุดหาโฟลเดอร์ชื่อ "com.apple.QuickLook.thumbnailcache" ตามภาพด้านล่าง
นี่เป็นปัญหาหรือไม่?
การรั่วไหลของ Encrypted Data ไม่พึงประสงค์ ปัญหานี้เกี่ยวข้องกับ Images หลัก เพราะมันเผยข้อมูลได้แม้ขนาดเล็กลง Images ที่ไม่เคย Preview ด้วย Quick Look จะมี 128 Pixels ด้านยาวที่สุด Cached Viewed Images จะใกล้เคียง 3 เท่าของนั้น
Non-image Files จะมี Thumbnail ของ Finder Icon เก็บไว้ คล้ายกับ Curled Page พร้อม Preview สำหรับ TXT หรือ RTF File คุณสามารถดูตัวอย่าง Cached Preview ประเภทนั้นด้านล่าง
ตาม Security Researcher ที่เขียนเรื่อง Vulnerability นี้ล่าสุด Thumbnails คงอยู่แม้ไฟล์ถูกลบแล้ว อีกทั้ง Quick Look Previews ถูกเก็บสำหรับ USB Drives หลังถอดออกแล้ว ดังนั้นการเสียบ USB Drive เข้า Mac จะทิ้ง Trace ที่ตรวจจับได้หลังถอด Drive ไปแล้ว ดังนั้นแม้ Parent File จะไม่ Accessible โดยระบบ Preview ก็ยังเผยข้อมูลเกี่ยวกับมันได้
ล้าง Quick Look Cache บน macOS
- เปิด Terminal จาก "/Applications/Utilities/Terminal.app" หรือพิมพ์ชื่อแอปใน Spotlight
- วางคำสั่งด้านล่างลง Terminal แล้วกด "Enter" เพื่อ Execute จะหยุด Quick Look Service และลบ Cached Files ทันที
qlmanage -r cache
ปิดใช้งาน Quick Look Cache บน macOS
คำสั่งด้านบนจะว่างเปล่า Quick Look Cache แต่ถ้าปล่อยให้ทำงาน Cache จะเริ่มสะสมไฟล์ใหม่ทันที ไม่สนสถานะ Encryption
เพื่อแก้ไข คุณสามารถปิด Cache ถาวรได้ อาจทำ Quick Look ช้าลงเล็กน้อย แต่จะหลีกเลี่ยง Vulnerability ที่มีอยู่ เพื่อปิด Quick Look Cache ถาวร ให้รันคำสั่ง Terminal ด้านล่าง:
qlmanage -r disablecache
หากต้องการเปิด Quick Look Cache กลับมา ใช้คำสั่ง enablecache แทน disablecache
สรุป
Vulnerability นี้อาจถูก Patch โดย Apple ในที่สุด แต่ Apple ทิ้งมันไว้นานพอที่ Computer Forensic Specialists มองว่าเป็นวิธีน่าเชื่อถือสำหรับ Exfiltrating Images เพื่อ Security สูงกว่า คุณอาจรันกระบวนการนี้เป็นประจำภายใต้ Recurring Script หรือด้วยมือหลังถอด USB Devices
