`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Как изменилось финансирование ИТ-направления в вашей организации?

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Не мечтайте о безопасности

+55
голосов

Результаты завершившихся на днях хакерских соревнований Pwn2Own и параллельного им конкурса Google Pwnium снова оказались неутешительными. А может быть, даже в большей степени, чем обычно...

Ведь если несколько прошлых лет по крайней мере Chrome внушал некие надежды на спокойное интернет-существование, то в этом году хакеры (в данном контексте это название несет исключительно позитивный смысл, т.е. речь идет об исследователях, специалистах по безопасности, а стало быть и по взлому, но никак не о злоумышленниках), похоже, намеренно взялись доказать их беспочвенность — и всем нам, и Google.

Любопытно, что в итоге именно над браузером Google было совершено наибольшее число надругательств. Впрочем, два из них — в рамках Pwnium, где он был единственным объектом. Но если первым взломщиком оказался в общем-то профессиональный хакер (он хоть и студент, но достаточно известный искатель ошибок в Chrome, по некоторым данным, сумевший уже заработать этим промыслом порядка $70 тыс, не считая нынешнего приза от Google), то вторым стал и вовсе тинэйджер, который предпочел остаться инкогнито под псевдонимом PinkiePie. Он использовал целых три неизвестных уязвимости и также сумел обойти «песочницу» Chrome.

Конечно, даже в подобных явлениях можно усматривать две стороны, в том числе и хорошую — ведь раз ошибки обнаружены, значит они будут устранены, соответственно, можно предположить, что следующие будет найти еще сложнее. Во всяком случае, щедрые призы Pwnium предполагают, что Google передается исчерпывающая информация об использованных хакерами уязвимостях и эксплойтах, так что не стоит удивляться тому, что последние несколько дней Chrome обновляется как сумасшедший. Но, к сожалению, не все так однозначно.

Правила соревнований Pwn2Own почему-то не столь категоричны, из-за чего Google в этом году и перестала официально их спонсировать. А в их рамках первым был также взломан именно Chrome. Группа VUPEN сумела добиться успеха благодаря двум уязвимостям: одной непосредственно в браузере, другой — в Windows 7 SP1 x64 для обхода механизмов DEP и ASLR.

Поскольку точная информация о взломе не предоставляется, специалисты Google высказывают косвенное предположение, что главная уязвимость находится не в самом Chrome, а во встроенном Flash-плагине. Представители же VUPEN, в свою очередь, упирают на то, что взломана была стандартная инсталляция браузера, соответственно, любые подробности не играют принципиальной роли. И с позиции пользователя или ответственного за информационную безопасность их точка зрения, пожалуй, более справедлива.

VUPEN же достался и главный приз Pwn2Own, вручаемый теперь за совокупность результатов (каждое «достижение» оценивалось соответствующим количеством баллов, которые затем суммировались) — $60 тыс. Дополнительно ее хакеры сумели создать ряд эксплойтов для известных ошибок в браузерах, а также еще раз продемонстрировать высший пилотаж — на этот раз, на примере Internet Explorer 9. Опять же, одна уязвимость использовалась для обхода DEP и ASLR, а вторая — для преодоления Protected Mode браузера Microsoft. По словам представителей VUPEN, последняя присутствует во всех версиях Internet Explorer, начиная с 6-й и заканчивая 10-й, разрабатываемой для Windows 8. Но воспользоваться ею в Internet Explorer 10 гораздо сложнее, так как в нем была существенно доработана песочница, что ставит в один ряд браузеры Microsoft и Google. Аналогично, был усовершенствован и ASLR в Windows 8.

Но самое интересное, что предать гласности VUPEN согласились только информацию, относящуюся к ОС, сохранив подробности об уязвимостях в Chrome и Internet Explorer для своих непосредственных «заказчиков». Дело в том, что эта группа хакеров представляет одноименную французскую компанию, которая специализируется на профессиональном (т.е. за деньги) поиске уязвимостей в различных компьютерных программах по заказу неких государственных структур. Это, конечно, делает ситуацию с соревнованиями Pwn2Own в их нынешнем виде довольно двусмысленной. А заодно демонстрирует, что безопасность в Интернете выходит далеко за рамки вопросов сохранности паролей к почтовым и социальным службам, причем настолько, что впору припомнить всякие параноидальные теории.

Firefox также был взломан на Pwn2Own. Команда из двух исследователей смогла воспользоваться свеженайденной ошибкой типа use-after-free (т.е. когда в программе сохраняется указатель на вроде бы освобожденную область памяти) и заслуженно получила второй приз в размере $30 тыс. А общая сумма всех призов на нынешних хакерских соревнованиях в рамках традиционной конференции CanSecWest составила $210 тыс. — рекордный показатель, хотя и весьма далекий даже от того миллиона долларов, с которым готова была расстаться одна Google.

Таким образом, в неприкосновенности остался только Safari. Хотя, напомним, в прошлые годы браузер Apple был едва не излюбленным объектом атак на Pwn2Own, а главный его обидчик Чарли Миллер говорил, что ошибок в коде достаточно для всех, кто готов реально приложить усилия для их обнаружения. Впрочем, Миллер не участвовал в нынешних соревнованиях, возможно это и спасло Safari.

Поскольку после показательной «порки» Chrome сомневаться в возможности взлома чего угодно вряд ли приходится. Но с чего бы хакеры так взъелись на детище Google именно сейчас? Представитель VUPEN недвусмысленно сказал, что они специально взломали Chrome первым, чтобы показать, что в безопасности никогда нельзя быть полностью уверенным. Возможно, впрочем, что за истекший год появились какие-то новые, более эффективные хакерские инструменты для зондажа кода.

Сами программисты шутят, что наличие ошибок в любой программе является аксиомой — из этого логически следует, что ошибки не просто есть, их бесконечно много. Такое ли уж это преувеличение? Отто фон Бисмарк когда-то высказался в том смысле, что человек, узнавший как делается колбаса и политика, навсегда потеряет спокойствие. Жаль что он жил до расцвета информационных технологий, иначе наверняка добавил бы к перечню столь сомнительных видов человеческий деятельности еще и производство ПО.

+55
голосов

Напечатать Отправить другу

Читайте также

Спасибо за статью ..
А расшифруйте пожалуйста - "А заодно демонстрирует, что безопасность в Интернете выходит далеко за рамки вопросов сохранности паролей к почтовым и социальным службам, причем настолько, что впору припомнить всякие параноидальные теории."

да ведь я написал, что VUPEN сливает информацию про уязвимости французским спецслужбам. а что с ней (информацией) происходит дальше? как она используется? а как может использоваться? а сколько еще есть таких организаций в разных странах? дальше фантазируйте сами :)

Спасибо еще раз огромное ...
Большой брат не спит .. Приучили нас к веб-почте, хостингу и облакам ..

Esperanto - La Internacia Lingvo!

 
 
IDC
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT