Οι πιο ανήσυχοι θα θυμούνται τον διαγωνισμό Pwnium 3 για το Chrome OS και τα 3 εκατομμύρια δολάρια βραβείο. Προσφορά του Google στους hackers που θα καταφέρουν να "σπάσουν" το Chrome OS και να εκμεταλλευτούν αδυναμίες του λειτουργικού.
Το Google συμμετέχει στον διαγωνισμό Pwnium 3 και πληρώνει αδρά τους hackers για να σπάσουν το Chrome OS. Είναι αλήθεια και πρόκειται να συμβεί στις 7 Μαρτίου κάπου στον Καναδά κατά την διάρκεια του συνεδρίου CanSecWest. Hackers εναντίον Chromebook με εκατομμύρια δολάρια σε έπαθλο.
Μετά τα προβλήματα και κενά ασφαλείας του Safari και όσα έχουν συμβεί τις προηγούμενες ώρες στο pwn2own, η Apple φαίνεται ότι ετοιμάζει ήδη την νέα έκδοση του iOS 4.3. Ναι, ετοιμαστείτε για το iOS 4.3.1 πολύ σύντομα και φυσικά για ακόμα ένα παιχνίδι της γάτας με το ποντίκι. Πρακτικά αυτό σημαίνει ότι το jailbreak για το iOS 4.3.x θα κυκλοφορήσει αμέσως μετά την διάθεση του iOS 4.3.1 έτσι ώστε να "διασωθεί" το jailbreak και να μην "καεί" από τo iOS 4.3.1 update της Apple. Είναι προφανές τι πρόκεται να συμβεί, γιατί αντίστοιχα παιχνίδια μεταξύ των hackers / jailbreakers και Apple έχουν λάβει και στο παρελθόν.
Στον ίδιο διαγωνισμό,εκεί που το iPhone OS έγινε φύλλο και φτερό από τους hackers του Pwn2Own, κάποιοι άλλοι φρόντισαν να αναμετρηθούν με τον Internet Explorer 8 και τον Firefox και να βγουν νικητές και γεμάτες τις τσέπες. Αυτό σημαίνει ότι οι ιδέες και τα hacks που χρησιμοποίησαν για να ξεπεράσουν την ασφάλεια των δημοφιλέστερων browsers του πλανήτη, όχι μόνο έπιασαν τόπο και άνοιξαν κάτι τρύπες να-με-συμπάθιο αλλά απέφεραν και μικρά χρηματικά έπαθλα. Αν είναι η τεχνική, ο κώδικας, η ιδέα ή το χρόνος δεν το ξέρω, τα exploits όμως φαίνεται ότι πιάνουν και Αpple, Microsoft και Mozilla έχουν δουλειά μπροστά τους... για την ασφάλεια όλων.
Η αλήθεια είναι σκληρή ακόμα και για μια εταιρεία τόσο μεγάλη και τόσο προσεχτική όσο η Apple. Το ταλέντο και η επιμονή των hackers που έλαβαν μέρος στο Pwn2Own 2010 είναι υπεράνω εταιρειών. Χρησιμοποιώντας unreleased exploit στο Safari οι τύποι κατάφεραν να κατεβάζουν όλη την SMS βάση δεδομένων που φυλάει το iPhone στα σωθικά του. Αν αυτό δεν είναι αρκετό, οι Vincenzo Iozzo, Ralf Philipp Weinmann και Halvar Flake υποστηρίζουν ότι το exploit που χρησιμοποίησαν δεν ξεφεύγει από τα όρια του Sandbox της Apple και θα μπορούσαν το ίδιο εύκολα εκτός από SMS να κατεβάζουν το contact list, τα emails, της φωτογραφίες αλλά και την μουσική του iTunes. The payload used chained return-into-libc (“return oriented programming”) on ARM to execute in spite of code signing. As far as we know, this is the first public demonstration of chainged return-into-libc on thre ARM platform. Αυτό που κατάφεραν τα παλικάρια είναι αξιοσημείωτο γιατί ουσιαστικά δείχνουν ότι παρά τους αυστηρούς κανόνες που επιβάλλει η Apple στους developers για την ανάπτυξη εφαρμογών, οι περιορισμοί δεν είναι αρκετά καλοί και σκληροί ώστε να αποτρέψουν exploits σαν αυτό. Για να ηρεμήσετε, αυτό δεν σημαίνει ότι την επόμενη φορά που ο Safari κολλήσει κάποιος έχει προσπαθήσει να κατεβάσει ό,τι περιέχει το iPhone. Είναι πιθανό αν επισκέπτεστε περίεργα sites αλλά πιο πιθανό είναι ότι εξαιταίας του Pwn2Own 2010 το iPhone OS θα γίνει πιο ασφαλές. [via]
