Topic: Pwn2Own 2012: Firefox sotto assedio!

[miki64]

Dopo la sfida 2010 (Pwn2Own 2010: gli hacker "bucano" Firefox? Sì, ma quello di un anno fa.... ) e la sfida 2011 (Pwn2Own 2011: gli hacker riusciranno a "bucare" Firefox?), eccoci giunti alla terza edizione.

Nell'attesa della sfida di marzo (vi terrò aggiornati io con questo topic   ), rivediamo un po' le regole (nuove):
Pwn2Own, nuove regole
Fervono i preparativi per l'annuale contest hacking. Cambiano le regole e si alza ancora la posta in palio

[RNicoletto]

Strano che non abbiano considerato i browser degli OS Mobile.
Strano abbiano escluso il contest relativo ai Sistemi Operativi.

Mah...

[miki64]

Google ha preso la decisione di abbandonare il supporto, in qualità di sponsor, di "Pwn2Own 2012": Un milione di dollari per chi scova bug in Google Chrome.
Questa cosa mi puzza molto...

[Ronnie91]

Pwn2Own 2012: Chrome bucato in 5 minuti da uno studente
Un gruppo di hacker russi ha bucato Chrome dopo cinque muniti dall'inizio della gara, grazie a un exploit che aggira la sandbox. L'inviolabilità del browser di Google proseguiva da tre anni, ora gli ingegneri sono al lavoro per chiudere la falla. Gli hacker adesso stanno cercando di mettere KO anche Internet Explorer, Safari e Firefox.

[gialloporpora]

questo dimostra che nessuno è inviolabile.

[Ronnie91]

Concordo e aggiungo, sandbox e tutto quello che vuoi, non sono infallibili...

[gialloporpora]

Ah, io sarei contento che bucassero pure Firefox, è sempre meglio che le debolezze vengano fuori in questi eventi in modo da poterle correggere.

[Ronnie91]

Io sinceramente preferirei che Firefox non venisse bucato, però pure tu hai ragione, meglio che escano fuori in questi eventi le cose così da poterle correggere...

P.S.: Certo, non essere bucati e Chrome si, sarebbe una grande soddisfazione...

[gialloporpora]

Credo comunque che l'interesse sia andato su chrome per 60000 $ di buoni motivi, altrimenti potevano cominciare con Safari che andavano sul sicuro

[Ronnie91]

Oltre i soldi, ti fai una grande pubblicità al livello mondiale e quindi magari ti assume qualche grande azienda...

Il tizio che ha trovato la falla è uno di quelli che cercano i bug in Chrome, magari l'aveva già trovata ed ha aspettato questo evento per i soldi in più (di solito i "cacciatori" di bug sono lo stesso remunerati, però mi sembra che il budget massimo sia 10000$...) che ha preso e la pubblicità...

[gialloporpora]

Il tizio che ha trovato la falla è uno di quelli che cercano i bug in Chrome, magari l'aveva già trovata ed ha aspettato questo evento per i soldi in più (di solito i "cacciatori" di bug sono lo stesso remunerati, però mi sembra che il budget massimo sia 10000$...) che ha preso e la pubblicità...

Leggendo qui:

Google Chrome's winning streak fades at annual hacking contest

A contestant in the second contest, which Google has dubbed "Pwnium," was also able to bypass the Chrome sandbox so he could execute any code of his choosing on the underlying machine. Sergey Glazunov wasn't on site to discuss the hack. Google has said only that for him to win the top $60,000 reward, his exploit was required to bypass the sandbox using code native to Chrome.

se non traduco male dall'inglese: ci sono stati 2 attacchi che hanno avuto successo, quello di una società che testa i bug dei software - Vupen - e uno portato da un hacker indipendente russo: Sergey Glazunov.  Google ha detto che solo il secondo attacco aveva i requisiti per vincere i 60000 $, il che fa pensare agli esperti (almeno così c'è scritto) che il primo non sfrutti solamente delle vulnerabilità di Chrome ma si appoggi sul plugin Flash (che fa parte dell'installazione di default ma non concorre al premio in denaro).

Ciao

[Ronnie91]

Flash quando si tratta di bug di sicurezza, non può mai mancare...

Grazie mille per i chiarimenti e le ulteriori informazioni!

Ciao!

[AlexV]

se non traduco male dall'inglese: ci sono stati 2 attacchi che hanno avuto successo, quello di una società che testa i bug dei software - Vupen - e uno portato da un hacker indipendente russo: Sergey Glazunov. 

Dall'articolo linkato da Ronnie91, sembrerebbe che Vupen sia il gruppo guidato da Glazunov

[Ronnie91]

Si AlexV, mi era sfuggito, è nelle prime frasi dell'articolo:

L'imbattibilità di Chrome è caduta in cinque minuti: tanto ci è voluto per trovare la falla e fare breccia nel sistema al Team Vupen, cappeggiato dallo studente universitario russo Sergey Glazunov.

[gialloporpora]

Io tendo a fidarmi più di Arstechnica:

Google Chrome's winning streak fades at annual hacking contest

"We pwned Chrome to make things clear to everyone," said Chaouki Bekrar, CEO of Vupen Security, which wielded the Chrome zero-day an hour or so after the contest began on Wednesday. "We wanted to show that even Chrome is not unbreakable."

io on sono una cima con l'inglese, però qui mi sembra chiaro che è Chaouki Bekrar a capeggiare il team di Vupen (mi sembrerebbe strano che uno studente russo fosse già CEO).

http://www.vupen.com/english/company.php

Edit:
Da qui:

https://twitter.com/#!/cbekrar

il team di Vupen è questo:

Codice: [Seleziona]

Thanks all for the nice messages! and congrats to our pwn2own team members @_frego_ @n_joly @jgrusko and Alex, you are great pwners!

ora però vedo che l'articolo italiano viene da una testata mezza parente di Repubblica, magari aspettiamo un bel articolo sul software.it, puntoinformatico, megalab e simili.