Zwycięzca PWN2OWN: za rok włamię się do Linuksa - dla zabawy
2 kwietnia 2008 11:28 Daniel Cieślak
IDG News Service: Dlaczego postanowiłeś sprzedać notebooka na eBay'u?
Shane Macaulay: Przede wszystkim chciałem się zorientować, jaka może być rynkowa cena exploita typu '0 day' [tzn. takiego, który korzysta z niezałatanej jeszcze przez producenta luki - red.]. Uzyskanie takiej informacji jest niezmiernie trudne - choćby dlatego, że narusza to zasady eBay'a.
Wcześniej byłem już zaangażowany w kilka prób sprzedaży takiego "towaru" i mniej więcej wiem, jak to wygląda i jakie pojawiają się problemy. Gdy trafisz na uczciwego nabywcę - czyli np. firmę czy zespół, który chce kupić informację o luce i przeprowadzić własne analizy dotyczące bezpieczeństwa - to zwykle musisz mu najpierw udostępnić kod zanim otrzymasz pieniądze (chodzi o sprawdzenie, czy jest on wart tych pieniędzy). Ale wtedy nie masz już swojej karty przetargowej - kupujący może np. zażądać obniżenia ceny, a skoro zna już szczegółowe informacje o luce, to nie bardzo możesz dyskutować. Istnieje więc niebezpieczeństwo, że osoba która poświęciła mnóstwo czasu i pieniędzy na znalezienie informacji o błędzie nie będzie w stanie na tym zarobić.
Warto wspomnieć, że Macaulay wygrał III, teoretycznie najłatwiejszy etap konkursu - regulamin tej części dopuszczał włamanie się do systemu poprzez lukę w aplikacji stworzonej przez zewnętrzną firmą. Etap I i II były zdecydowanie trudniejsze - w pierwszym należało włamać się do systemu zdalnie, poprzez jedną z domyślnie uruchomionych w nim aplikacji lub usług (w tej części nikt nie zdołał sforsować zabezpieczeń Ubuntu Linux, Mac OS X oraz Windows Vista). W II etapie - w którym atakować można było system operacyjny i dołączone do niego aplikacje siedząc przed komputerem - zwycięzcą został Charlie Miller, który potrzebował niespełna 2 minut na włamanie się do MacBooka Air z Mac OS X (przez lukę w przeglądarce Safari). Więcej informacji na temat konkursu znaleźć można w tekście "PWN 2 OWN: Mac pierwszą ofiarą".
Zdziwiłeś się, gdy eBay usunął aukcję?
Nie, bo trochę się pospieszyłem - rozpocząłem aukcję zanim wysłałem do eBay'a list, w którym zamierzałem dokładnie wytłumaczyć moje zamiary. Chciałem im powiedzieć - "Ta aukcja jest zgodna z waszym regulaminem i z zasadą nie sprzedawania informacji o lukach typu '0 day' ustanowioną przez sponsora PWN2OWN. Rzeczywiście wystawiony produkt ma aktualnie status '0 day' - ale w momencie zakończenia aukcji już tak nie będzie".
To był mój pomysł na rozpoczęcie licytacji i poznanie choćby orientacyjnej ceny exploita gdy luka wciąż zaliczała się do kategorii '0 day'.
- max
- 2008-04-02 11:50:49
"Shane Macaulay (po prawo)" ludzie co to za bełkot?!
- Zeke
- 2008-04-02 11:54:04
Podobno tak mówią "warszawiacy" :) . Co nie zmienia faktu, że to błąd.
- Redakcja
- 2008-04-02 12:05:31
@ Max, Zeke - błąd poprawiony. Dziękujemy za uważną lekturę i sygnał ;)
- scoobydoobydoo
- 2008-04-02 12:27:33
Dobrze że poprawione, ale o co chodzi w "pomógł mu w wygraniu konursu". Ja też chce wygrać jakiś konurs... :)
- popdruid
- 2008-04-02 12:49:06
Co do tego linuxa i wyższości jednego systemu na drugim to ma trochę racji ale w linuxie sie chyba będzie musiał faktycznie "doszkolić" bo tu już nie jest tak różowo... :-)) A te dylematy przy sprzedaży to po prostu samo życie...
- Gf
- 2008-04-02 13:38:50
Trzymamy za słowo! Prosimy o załatwienie ubuntu. A najlepiej jak by po prostu kupicprofesjonalna analize i placic za znajdowanie bledow. Potem wytypowac referencyjny sprzet (lista) i zamrozic taki system na 5 lat. Zero nowych funkcjonalnosci. zero upgrade nie zwiazanego z bezpieczenstwem.
- kiernek
- 2008-04-02 16:43:48
pisze się w 1os: za rok włamę się. chyba nawet poz tym nie ma s łowa włamię w jakiejkolwiek formie
- ziąąą
- 2008-04-02 17:37:27
nie ma systemów doskonałych, więc dlaczego nie? jak będzie to system domyślnie zainstalowany to będzie miał łatwiejsze zadanie. chociaż w wypadku linuxa ma trudniejsze zadanie - wszystkie luki bezpieczeństwa w oprogramowaniu opensource są łatane i udostępniane bardzo szybko po ich wykryciu, może poza plajerem vlc;/ wogóle taki konkurs jest porażką. włamywanie się do domyślnie skonfigurowanych kompów. bardziej emocjonujący byłby pojedynek hakierów na zasadach "last man standing" tzn każdy ma kompa którego musi bronić i jednocześnie hackować kompy przeciwników. ten kto przetrwa zostaje zwycięzcą. to by było coś COOL
- Robert
- 2008-04-02 22:00:47
No, a za dwa lata pewnie poleci na księżyc ??? Brednie gościu wygaduje, bo za rok, klasa bezpieczeństwa systemu Linux, wzrośnie nieporównywalnie do stanu obecnego :)))
- pfffffff
- 2008-04-02 22:10:22
[i zapowiada, że za rok - w kolejnej edycji PWN2OWN - być może włamie się do Linuksa...] Czyli przez cały rok będzie szukał dziury i się wtedy włamie, a za trzy godziny po włamaniu będzie łata.
- ~gość
- 2008-04-02 23:43:52
A ja mam nadzieję, że za rok nie będą używać Ubuntu, bo to jest dystrybucja, której jeszcze wiele brakuje do czołówki pod względem bezpieczeństwa. Proponuję RHEL'a lub SLES'a (ze wskazaniem na tego pierwszego).
- ~gość
- 2008-04-02 23:45:50
A ja mam nadzieję, że za rok nie będą używać Ubuntu, bo to jest dystrybucja, której jeszcze wiele brakuje do czołówki pod względem bezpieczeństwa. Proponuję RHEL'a lub SLES'a (ze wskazaniem na tego pierwszego ze względu na mandatową kontrolę dostępu – pan Macaulay będzie mógł go cmoknąć w AVC).
- OBRYTY KOZAK
- 2008-04-03 14:19:05
JEśLI Z NIEGO TAKI KOZAK (Shane Macaulay) to dlaczego nie włamał się do systemu w ciągu 1-go dnia konkursu ???
- mac
- 2008-04-04 09:07:39
bo sie nie dalo hehehe. Wiesz... jak przygotujesz odpowiedni skrypt a potem ja w niego klikne i jeszcze zatwierdze ze zgadzam sie na cos tam to nic dziwnego ze mu sie udalo wlamac. To troche jak z tym azerbejdzanskim wirusem ktory nawoluje zeby sobie sakasowac dwa pliki sysstemowe i przeslac wiadomosc dalej. Jak user jest glupi to mu zaden system nie pomoze. Tak samo jak ustawienie hasla takiego jak login w mailu :D
- Piotr
- 2008-04-04 09:17:51
facet idzie na łatwiznę. Wolał włamać się do jabłuszka czy visty po to łatwiejsze i lepiej zapłacą. W linuxie nim by się włamał to luka mogła by być nieaktualna. I kto by zapłacić?
- ~gość
- 2009-03-20 08:02:37
Koleś używa Linuksa i można zaryzykować że jest swego rodzaju fanatykiem. Pewnie takich ludzi jest więcej, dlatego nie włamują sie na Linuksa ponieważ byłoby to równe z powiedzmy, zabójstwem swoich rodziców.
- ~vcxvxc
- 2010-09-21 23:53:41
PWN2OWN ("Przejmij i wygraj") powaga?...
Popularne produkty
Pobierz bezpłatnego e-booka 
Kariera w IT 2012
