ההאקרים עמדו באתגר: כרום נפרץ תוך דקות
האקר רוסי וקבוצה של מומחים מצרפת הצליחו, במקביל, לאתר פרצות אבטחה בדפדפן שנחשב לבטוח בעולם, ולהשתלט על מחשב אישי. זאת, במסגרת תחרות מבוקרת. בגוגל דווקא מרוצים
תמונה: flickr, cc-by, dailylifeofmojo
או שמישהו בגוגל יהיר מדי, או שהאקרים אוהבים להיענות לאתגרים. בכל מקרה, לאחר ארבע שנים שקטות, והפרס הגדול ביותר שחברת תוכנה הציעה אי-פעם בתמורה לפריצת מוצר הדגל שלה, דפדפן כרום סוף-סוף נפרץ.
כבר ביום הראשון של תחרות הפריצות Pwnium, שהתבצעה במסגרת כנס אבטחת המידע CanSecWest בוונקובר שבקנדה, הוכיח סרגיי גלזונוב, סטודנט רוסי צעיר, שלא צריך יותר מדי כדי לפרוץ את הדפדפן, הוכחה ששלשלה לכיסו פרס של 60 אלף דולרים.
והוא לא היה היחיד
לפי הדיווחים השונים, גלזונוב עשה שימוש בפרצה שלא גולתה בעבר, ייחודית לכרום, על-מנת לעקוף את מגבלות “”ארגז החול” שעוצבו במיוחד על-מנת למנוע מהאקרים גישה באמצעות הדפדפן למידע במחשבו של המשתמש.
במקביל, קבוצה נוספת של האקרים, הפעם מצרפת, לא נזקקה ליותר מחמש דקות כדי להפיל את הדפדפן. חברי הקבוצה אמרו לאחר מכן כי ישתדלו לבדוק את הפירצה שגילו גם על דפדפנים אחרים, דוגמת אקפלורר, ספארי ופיירפוקס.
על-מנת לבצע את התעלול, אנשי הקבוצה עשו שימוש בכמה וכמה נקודות תורפה שגילו, על-מנת להשתלט לגמרי על מחשב שבו הותקנה מערכת הפעלה סנדרטית של חלונות 7. אנשיה הסבירו כי התחילו לתכנן את המזימה שבועות ספורים לפני התחרות, וכי נזקקו לבצע למעשה שתי פעולות: האחת על-מנת לעקוף את ה-DEP וה-ASLR, והשניה כדי להפיל את “ארגז החול”.
איבד את התואר
זו הפעם הראשונה בה כרום נפרץ בתחרות פומבית, על-אף שהיה מועד לפורענות במשך שלוש תחרויות קודמות. מי יודע, אולי המאמץ פשוט לא היה שווה: בשנה שעברה עמד סכום הפרס על 20 אלף דולרים, השנה, בשיתוף HP, סכומי הפרסים השונים הגיעו למיליון דולר, סכום קצת יותר משתלם. בניגוד לשנים קודמות, גוגל אינה מממנת השנה את כל התחרות, אלא מציעה פרסים מסויימים, בשלוש קטגוריות, לפורצים שיצליחו לפגוע בכרום.
מהנדסי הדפדפן עצמם אמרו כי הם לא מצטערים על כך שתם רצף השנים הלא פרוצות, אלא דווקא כי ניסו לעשות שימוש בתחרות הפריצות על-מנת לאתר באגים אפשריים בדפדפן בסביבה בטוחה. הדבר מתאפשר שכן על-מנת לזכות בפרס, על ההאקר לחשוף את כל מהלך הפריצה בפני גוגל, כך שמהנדסיה יוכלו לתקן את הנדרש.
בסופו של דבר, גם היהירים שבמהנדסים מודעים לכך שאין דפדפן שהוא “בלתי פריץ”. כריס אוונס וג’סטין שו מצוות האבטחה של דפדפן הכרום בגוגל הסבירו עוד טרם התחרות כי “אף על פי שבשנים הקודמות לא הצלחנו לקבל פרצות אבטחה מהתמודדים בתחרות, אנחנו מקווים שהגדלת הפרסים השנה תייצר עבורנו יותר הזדמנויות ללמוד על אבטחת הדפדפן שלנו ועל אבטחת הגולשים באינטרנט בכלל באמצעות חורי אבטחה שיגלו המתמודדים בתחרות”.
נועה זהבי רז
נועה רז, בת 30. חיה באינטרנט מאז 1999, חובבת ג'אדג'טים אך לא יודעת מה עושים איתם, וכותבת, בעיקר על כלום.
הגב
9 תגובות על "ההאקרים עמדו באתגר: כרום נפרץ תוך דקות"
* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.
אין מצב שהם עקפו את הDEP ובטח שלא את הASLR !!!
לא הצלחת לחשוב על תגובה יותר פטתית ?
לא להאמין.
מה היקף הפירצה?
מה בדבר לינק למקור, או לפרטים טכניים?
זאת בהחלט תחרות שווה – ככה האקרים יכולים לתת למהנדסים יכולת לראות טוב יותר את נקודות התורפה של הדפדפן. וואללה – שווה.
כן אפשר לעקוף את DEP וכמובן שאת aslr ..
לדעתי הם עשו זאת בעזרת הגוגל ספון המתוכנת בשפת Object Oriented Java.
אחרת אין לי הסבר אלא אם הם השתמשו בגוגל בלנדר.
קודם כל, רובי אין מצב שזה נעשה ע”י גול ספון, מפני שלפי הדיווחים הרשמיים של גוגל הוא כבר לא בשימוש מסחרי בחצי שנה האחרונה לפחות! לגבי הבלנד, יתכן, אך גם אז אין שום דרך להוכיח את זה אלא אם כן תשלח לנו סקרין שוטים של הסורס לשם המחשה.
לפי מה שכתוב בחוקים של התחרות, לא היה צריך לעקוף את ה aslr:
The browsers will be installed on Windows XP (for Firefox, IE, and Chrome) and Snow Leopard (for Safari). That way, the only exploit mitigation that must be overcome is DEP (no ASLR). Also, we will not require a sandbox or protected mode escape for any of the public vulnerability exploits.
http://pwn2own.zerodayinitiative.com/rules.html