Chrome only browser left standing after day one of Pwn2Own

Saturday, March 27, 2010 Unknown 0 Comments

Cuộc thi CanSecWest (22-26/03/2010 tại Vancouver, British Columbia), một sự kiện, tập hợp một số các chuyên gia có tay nghề cao nhất trong cộng đồng an ninh, đã chứng minh rằng ba trình duyệt phổ biến nhất đều mắc các lỗi bảo mật bất chấp sự cảnh giác và những kỹ thuật thành thạo của người tạo ra chúng. Cả Firefox, Safari và Internet Explorer đều bị qua mặt trong cuộc thi Pwn2Own năm ngoái. Tuy nhiên, trình duyệt Chrome của Google là trình duyệt duy nhất còn nguyên vẹn - Chrome chiến thắng nhờ các nhà nghiên cứu bảo mật đã cung cấp cho nó tính năng  đột phá "sandbox".

Theo thông lệ hàng năm của cuộc thi Pwn2Own, người chiến thắng, là những người tìm ra những cách hiệu quả để qua mặt được trình duyệt bằng cách sử dụng các mã thực thi tự viết, sẽ nhận được giải thưởng tiền mặt từ 10.000 USD cho đến 100.000 USD cộng với sản phẩm mà họ đã hack thành công. Trong ngày đầu tiên của cuộc thi, các thí sinh được yêu cầu phải thực hiện điều này trên trình duyệt cài đặt mặc định mà không cài đặt các plugin như Flash hay Java, vốn thường được sử dụng như là cầu nối trung gian cho các cuộc tấn công. Các nhà nghiên cứu thường chuẩn bị trước cho sự kiện này bằng cách tìm ra các lỗ hổng zero-day để khai thác trước khi chính thức diễn ra cuộc thi.

Đầu tháng này, nhà vô địch cuộc thi lần trước Charlie Miller (đến từ Independent Security Evaluators, Baltimore) đã nói với các phóng viên rằng ông sẽ tìm cách khai thác một lỗ hổng của Safari trên Mac OS X. Safari, và ông cho biết Safari sẽ là ứng cử viên đầu tiên bị hạ gục. Như ông đã hứa, Safari đã bị hạ đầu tiên: ông đã thực hiện quá trình hack của mình chỉ trong thời gian chưa đến 10 giây (năm ngoái ông cũng vượt qua hệ thống anh ninh của Macintosh chỉ trong 2 phút). Ông giành được 5.000 đô la Mỹ tiền mặt, cùng với chiếc MacBook mà ông đã sử dụng để thực hiện cuộc tấn công. Một chuyên gia bảo mật khác, chỉ được biết đến dưới cái tên Nils, thì mất nhiều thời gian hơn, nhưng ông đã vượt qua thành công cả ba trình duyệt phổ biến nhất (IE, Firefox, Safari).

Những cuộc thi đóng góp vào sự phát triển nền văn hóa của sự thương mại hóa xung quanh nghệ thuật khai thác. Trong một cuộc phỏng vấn với ZDnet, Miller nói rằng lỗ hổng ông đã sử dụng trong các cuộc thi chính là lỗ hổng mà ông đã từng phát hiện ra trong khi chuẩn bị cho cuộc thi năm ngoái. Thay vì việc tiết lộ nó tại thời điểm đó, ông quyết định lưu nó lại cho cuộc thi năm nay, bởi vì cuộc thi chỉ trả tiền cho một lỗi trong mỗi năm. Ông nói rằng đó là một phần trong triết lý mới của mình, đó là lỗi không nên tiết lộ cho các nhà cung cấp một cách miễn phí.

"Tôi không bao giờ từ bỏ các lỗi miễn phí. Tôi có một chiến dịch mới... Nó gọi là KHÔNG CÒN CHUYỆN CHUYỂN GIAO LỖI MỘT CÁCH MIỄN PHÍ NỮA. Các lỗ hổng có một giá trị thương mại nhất định, vì thế thật vô lý nếu chúng ta làm việc cật lực để tìm ra một lỗi, viết mã khai thác và sau đó bỏ nó đi", Miller thổ lộ với ZDnet. "Apple trả tiền cho những người làm công việc đó nên chúng tôi biết việc này có giá trị để làm".

Miller cũng đã nói với các phóng viên rằng ông nhắm mục tiêu Safari trên Mac OS X, vì ông tin rằng đó là đối tượng dễ dàng nhất để khai thác. Còn với Windows, ông tuyên bố là khó khăn hơn do tính năng địa chỉ ngẫu nhiên của nó và các biện pháp an ninh khác. Đối với Chrome, ông nói rằng ông đã xác định một lỗi bảo mật trong trình duyệt của Google, nhưng đã không thể tận dụng nó, vì tính năng sandbox của trình duyệt cùng với các biện pháp bảo mật của hệ điều hành đã đưa ra một thách thức ghê gớm.