|
Un seul peut rester en vie et dans ce cas, il s'agit du navigateur vedette de Google. iPhone, Safari, Explorer et même Firefox bien établi sont tombés sans problème entre les mains des meilleurs hackers du monde qui se réunissent chaque année au Canada pour tenter de détruire les systèmes les plus connus du moment et signaler leurs failles de sécurité. Cependant, ils n'ont pas pu violer le mode "sandbox" sévère qui protège Chrome, un colosse qui a résisté aux attaques des meilleurs experts en informatique de la planète. |
Le concours annuel Pwn2Own au salon de la sécurité CanSecWest à Vancouver offre l'environnement parfait pour que les meilleurs experts en sécurité informatique du monde puissent s'engager à plein régime contre toutes sortes de gadgets et de logiciels chauds. Année après année, ils parviennent à contourner les barrières de sécurité que les systèmes sous revue tentent d'imposer, mais seuls quelques-uns ont l'honneur d'atteindre la fin du concours sans un seul échec.
Le premier à tomber a été l'iPhone d'Apple à succès, Vincenzo Iozzo et Ralf Philipp Weinmann n'ont eu besoin que de 20 secondes pour se moquer de l'appareil le plus demandé du moment. Les hackers ont seulement fait entrer l'iPhone (sans jailbreak) dans un site développé précédemment par eux, à partir duquel ils ont copié toute la base de données SMS (même celles supprimées) sur leurs serveurs. Ils ont déclaré que malgré les efforts d'Apple pour éviter ces lacunes, «la façon dont ils ont mis en œuvre la signature de code est trop indulgente». Ils ont gagné 15.000 XNUMX $ pour cette démonstration de renseignement et dès que la société Apple corrige le bug de sécurité, les détails de l'accès seront affichés.
Charlie Miller, analyste principal de la sécurité chez Independent Security Evaluators, a réussi à pirater Safari sur un MacBook Pro avec Snow Leopard et sans accès physique, gagnant 10,000 XNUMX $. Ce vieux chien d'événement parvient à casser un appareil appartenant à Apple chaque année. Il semble qu'il ait pris le pouls de la marque. Cela ne ferait pas de mal à l'entreprise de l'embaucher pour voir si une fois pour toutes ils peuvent mettre fin aux failles de sécurité de leurs produits.
Le chercheur indépendant en sécurité Peter Vreugdenhil a remporté le même montant pour le hack d'Internet Explorer 8, qui ne surprend plus personne de voir une édition et une autre aussi, car il est renversé par tout expert qui le propose. Pour pirater IE8, Vreugdenhil a affirmé avoir exploité deux vulnérabilités dans une attaque en quatre parties qui a contourné ASLR (Address Space Layout Randomization) et DEP (Data Execution Prevention), qui sont conçus pour aider à arrêter les attaques dans le navigateur. Comme dans d'autres tentatives, le système a été compromis lorsque le navigateur a visité un site qui hébergeait un code malveillant. La décision lui a donné des droits sur l'ordinateur, ce qu'il a démontré en exécutant la calculatrice de la machine.
Firefox a également dû plier le genou devant la ruse de Nils, responsable britannique de la recherche pour MWR InfoSecurity, qui a fait 10,000 XNUMX $ sur la vulnérabilité du navigateur qui maintient Microsoft à l'aise. Nils a déclaré qu'il avait exploité une vulnérabilité de corruption de mémoire et avait également dû surmonter ASLR et DEP grâce à un bogue dans l'implémentation de Mozilla.
Et enfin, le seul qui soit resté debout est Chrome. Jusqu'à présent, c'est le seul navigateur qui reste invaincu, ce qu'il avait déjà réalisé lors de l'édition 2009 de cet événement qui se déroule au Canada et qui vise à avertir les utilisateurs des vulnérabilités des programmes. «Il y a des failles dans Chrome, mais elles sont très difficiles à exploiter. Ils ont conçu un modèle «bac à sable», qui est très difficile à casser », a déclaré Charlie Miller, le célèbre hacker, qui dans cette édition a réussi à prendre le contrôle de Safari sur un Macbook Pro.
Sources : Neoteo , Segu-Info et ZDNET