Znajdź zawartość

Podczas tegorocznych zawodów hackerskich Pwn2Own uczestnicy będą mieli okazję zdobyć dodatkową nagrodę pieniężną. Google oferuje 20 000 USD hakerowi, który włamie się do przeglądarki Chrome i wydostanie się poza piaskownicę (sandbox). Oznacza to, że chętni na zdobycie pieniędzy muszą odnaleźć i wykorzystać dwie dziury, w tym jedną umożliwiającą zwiększenie uprawnień. W ubiegłym roku Chrome był jedyną przeglądarką, która oparła się atakom. Głównym sponsorem i organizatorem konkursu jest jak zwykle firma TippingPoint. Jego zasady są te same, co zwykle. Należy zdalnie wykorzystać nieznaną wcześniej dziurę typu zero day i włamać się do przeglądarki zainstalowanej w systemie Windows 7 lub Mac OS X. Do zawodów staną Internet Explorer, Safari, Firefox i Chrome. Każda z nich będzie zainstalowana na 64-bitowym systemie. W ramach innej części konkursu zadaniem uczestników będzie włamanie się do urządzeń przenośnych. Będą to Dell Venue Pro z Windows 7, iPhone 4 z iOS, Blackberyy Torch 9800 z Blackberry 6 OS oraz Nexus S z Androidem. Za skuteczny uznanie taki atak, do którego przeprowadzenia wymagana jest niewielka lub żadna interakcja z użytkownikiem telefonu oraz który pozwoli na dostęp do użytecznych danych.

W Zero Day Initiative (ZDI) firmy Tipping Point, największym programie w ramach którego odkrywcy luk otrzymują wynagrodzenie, wprowadzono poważne zmiany. Teraz producenci dziurawych programów będą mieli 6 miesięcy na ich załatanie. Po pół roku informacje o dziurach zostaną upublicznione. Tipping Point kupuje od niezależnych badaczy informacje, przekazuje je producentom wadliwego oprogramowania i sama opracowuje też zabezpieczenia oferowane w swoich własnych aplikacjach. Dotychczas w ramach ZDI informacje o dziurach utajniano do czasu publikacji łaty. Tylko od woli producenta zależało, jak szybko udostępni poprawkę. Teraz uległo to zmianie. Producenci mają jedynie pół roku na przygotowanie łat. Innymi słowy, dziury, które obecnie znajdują się w bazie danych ZDI powinny zostać załatane do 4 lutego przyszłego roku. Po sześciu miesiącach Tipping Point będzie wywierało nacisk na producentów publikując "ograniczone informacje" o luce. To "ograniczenie" będzie inne dla każdej luki. Jak zapewniają przedstawiciele Tipping Point zmiana zasad programu ZDI nie ma nic wspólnego z szeroko dyskutowanym postępowaniem Tavisa Ormandy'ego z Google'a, który upublicznił informację o dziurze zaledwie pięć dni po tym, jak poinformował o jej istnieniu Microsoft. Obecnie w bazie danych ZDI znajdują się informacje o 31 krytycznych dziurach, o których twórcy wadliwego oprogramowania wiedzą co najmniej od roku.