Nu, tas bija neglīts kā grēks. Neviena no lielākajām tīmekļa pārlūkprogrammām — Internet Explorer, Chrome, Firefox vai Safari — nevarēja izturēt hakeru uzbrukumus Zero Day Initiative Pwn2Own hakeru konkursā.
Ja kādreiz radās šaubas, ka drošība ir process, nevis produkts, HP Zero Day Initiative (ZDI) ikgadējās iniciatīvas rezultāti. Pwn2Own hakeru konkurss liks šīm šaubām mieru. Visi Galvenās tīmekļa pārlūkprogrammas — Chrome, Firefox, Internet Explorer (IE) un Safari — tika uzlauztas divu dienu sacensību beigās..
HP ZDI komanda svin pēc IE 11 uzlaušanas pilnībā izlabotā Windows 8.1 x64 klēpjdatorā. (Kredīts: HP ZDI)
Pirms paša Pwn2Own konkursa sākuma divi no spēles sponsoriem Google un ZDI parādīja savas pārlūkprogrammas plaisas pasākumā ar nosaukumu Pwn4Fun. Pirmkārt, Google uzlauza Apple Safari 7 pilnībā izlabotajā Mac OS X Maverick versijā kā ola. Ekspluatācijas beigās Google palaida kalkulatoru kā root.
Savukārt ZDI demonstrēja "daudzpakāpju izmantošanu, tostarp pielāgojamu smilškastes apvedceļu, pret Microsoft Internetu Explorer, palaiž Scientific Calculator (darbojas ar vidēju integritāti)" IE 11, kas darbojas ar atjauninātu Windows ielāpu 8.1x64 dators. Lai gan tas nebija tik pilnīgs sabrukums kā Google pārlūkprogrammā Safari, tas joprojām bija graujošs trieciens.
Dažas drošības eksperti iebilda pret to, ka Google un ZDI demonstrē šos varoņdarbus. Drošības izdevumam pastāstīja Google drošības inženieris Kriss Evans Draudu stabs ka Google iepriekš bija kopīgojis ievainojamību ar Apple. HP ZDI piebilda, ka viņi ir ziņojuši Microsoft par izmantotajiem nulles dienas caurumiem, kā arī vēl sešiem IE drošības caurumiem.
Kad sākās īstais Pwn2Own konkurss un visas pārlūkprogrammas un saistītās tīmekļa pārlūkprogrammas, tostarp Adobe Flash un Reader, sāka kristies.
Pirmkārt, Firefox 27 tika uzbrukts trim dažādiem uzbrukumiem Windows 8.1 x64 personālajam datoram. Tad Komanda VUPEN, elites franču drošības ekspertu grupa, izņēma jaunākās Adobe Flash un Reader versijas, un tam sekoja, izmantojot gan citus drošības caurumus IE 11, gan Firefox 27.
Un tā bija tikai pirmā sacensību diena. Nākamajā dienā visas pārlūkprogrammas, tostarp Google Chrome, atkal tika sabojātas.
Saskaņā ar HP rezultātu pārklājumu, tikko izlabots Chrome nonāca līdz patvaļīgai lasīšanas/rakstīšanas kļūdai ar smilškastes apiešanu, kā rezultātā tika izpildīts kods. Pārskatot, konkursa tiesneši pasludināja šo par daļēju uzvaru vienas daļas dēļ prezentācijas sadursme ar ievainojamību, kas tika parādīta iepriekš vietnē Pwnium."
Chrome vēl nebija no meža. VUPEN to uzlauza ar uzbrukumu, kas to atvēra ar smilškastes apiešanu, kā rezultātā tika izpildīts kods, kas darbojās pret abiem Mirkšķiniet un WebKit tīmekļa renderēšanas dzinēji.
Citas pārlūkprogrammas arī cieta vairāk sāpju. IE 11, Firefox 27 un Safari 7 tika sagrautas pirms konkursa beigām. Tikai viena hakeru balva palika nepieprasīta — sistēmas līmeņa koda izpildes "Vienradzis" operētājsistēmā Windows 8.1 x64, IE 11 x64, ar uzlabotās mazināšanas pieredzes rīkkopas (EMET) apiešanu.
Pēc Pwn2Own beigām 850 000 USD tika piešķirti balto cepuru hakeriem, atstājot pārlūkprogrammas izstrādātājiem daudz darāmā ielāpu darba. Vissvarīgākais Pwn2Own rezultāts, kā Čaoki Bekrars, VUPEN izpilddirektors sacīja CNET, bija tas, ka "pat visdrošāko programmatūru var apdraudēt pētnieku komanda ar pietiekamiem resursiemKā tas bija sākumā, tagad un vienmēr būs, drošība ir process, nevis produkts.
Saistītie stāsti:
- Pwn2Own: 14 pārlūkprogrammas un spraudņu izmantošanas veidi, ko NSA nepirks
- CNET: Google novērš 7 Chrome drošības caurumus tieši pirms CanSecWest
- Visi uzlauzuši skatienus uz CanSecWest naudas balvām
- NSA: Mūsu nulles dienas pakļauj jūs riskam, taču mēs ar tām darām to, kas mums patīk
- Drošība 2014: caurumi ir lietotnēs, nevis operētājsistēmās