Zwycięzca PWN2OWN: za rok włamię się do Linuksa - dla zabawy

Shane Macaulay jest jednym z dwóch zwycięzców zakończonego w miniony piątek konkursu hakerskiego PWN2OWN - to on zdołał włamać się przez lukę w oprogramowaniu Adobe Flash do systemu Windows Vista. Krótko później Macaulay wystawił wygrany komputer na eBay'u - jednak aukcja została błyskawicznie anulowana przez pracownika serwisu aukcyjnego, ponieważ "była niebezpieczna dla użytkowników". W wywiadzie udzielonym Robertowi McMillanowi z IDG News Service Macaulay tłumaczy, że chciał w ten sposób sprawdzić, ile na wolnym rynku może być warta informacja o poważnym błędzie w popularnej aplikacji i zapowiada, że za rok - w kolejnej edycji PWN2OWN - być może włamie się do Linuksa...

Notebook Fujitsu (wraz z zapisanym na dysku exploitem), który Shane Macaulay otrzymał jako jedną z nagród za włamanie się do Visty, pojawił się w amerykańskim eBay'u wczoraj - na początku wydawało się, że to może być dowcip z okazji 1 kwietnia. Decyzja hakera wydawała się bardzo nierozsądna i sprzeczna zarówno za regulaminem konkursu PWN2OWN (przewiduje on, że zwycięzca nie ma prawa ujawnić szczegółowych informacji o błędzie przed przygotowaniem poprawki przez producenta), jak i z zasadami przeprowadzania aukcji w eBay (serwis zabrania sprzedawania informacji o nowych lukach). Macaulay tłumaczy jednak, że wszelkie zarzuty są chybione - aukcja miała zakończyć się dopiero 8 kwietnia, a do tego czasu gotowa będzie poprawka na ową lukę. Jego zdaniem nabywca komputera miałby doskonałą okazję, by dokonać samodzielnej analizy zawartości dysku i samodzielnie odkryć lukę i exploita - tak przynajmniej wynikało z opisu aukcji. Niestety, w zaledwie kilka godzin po rozpoczęciu aukcji została ona usunięta przez pracownika eBay'a - o szczegółach tego incydentu Shane Macaulay opowiedział w wywiadzie udzielonym IDG News Service.

IDG News Service: Dlaczego postanowiłeś sprzedać notebooka na eBay'u?

Shane Macaulay: Przede wszystkim chciałem się zorientować, jaka może być rynkowa cena exploita typu '0 day' [tzn. takiego, który korzysta z niezałatanej jeszcze przez producenta luki - red.]. Uzyskanie takiej informacji jest niezmiernie trudne - choćby dlatego, że narusza to zasady eBay'a.

Wcześniej byłem już zaangażowany w kilka prób sprzedaży takiego "towaru" i mniej więcej wiem, jak to wygląda i jakie pojawiają się problemy. Gdy trafisz na uczciwego nabywcę - czyli np. firmę czy zespół, który chce kupić informację o luce i przeprowadzić własne analizy dotyczące bezpieczeństwa - to zwykle musisz mu najpierw udostępnić kod zanim otrzymasz pieniądze (chodzi o sprawdzenie, czy jest on wart tych pieniędzy). Ale wtedy nie masz już swojej karty przetargowej - kupujący może np. zażądać obniżenia ceny, a skoro zna już szczegółowe informacje o luce, to nie bardzo możesz dyskutować. Istnieje więc niebezpieczeństwo, że osoba która poświęciła mnóstwo czasu i pieniędzy na znalezienie informacji o błędzie nie będzie w stanie na tym zarobić.

Zwycięzca PWN2OWN

Shane Macaulay jest jednym z dwóch zwycięzców tegorocznej edycji konkursu PWN2OWN ("Przejmij i wygraj") - jego wyczyn polegał na włamaniu się do systemu Windows Vista poprzez lukę w zainstalowanej w nim aplikacji Adobe Flash. Macaulay dokonał tego dzięki pomocy kolegów, Aleksandra Sotirowa i Dereka Callawaya.

Warto wspomnieć, że Macaulay wygrał III, teoretycznie najłatwiejszy etap konkursu - regulamin tej części dopuszczał włamanie się do systemu poprzez lukę w aplikacji stworzonej przez zewnętrzną firmą. Etap I i II były zdecydowanie trudniejsze - w pierwszym należało włamać się do systemu zdalnie, poprzez jedną z domyślnie uruchomionych w nim aplikacji lub usług (w tej części nikt nie zdołał sforsować zabezpieczeń Ubuntu Linux, Mac OS X oraz Windows Vista). W II etapie - w którym atakować można było system operacyjny i dołączone do niego aplikacje siedząc przed komputerem - zwycięzcą został Charlie Miller, który potrzebował niespełna 2 minut na włamanie się do MacBooka Air z Mac OS X (przez lukę w przeglądarce Safari). Więcej informacji na temat konkursu znaleźć można w tekście "PWN 2 OWN: Mac pierwszą ofiarą".

Zdziwiłeś się, gdy eBay usunął aukcję?

Nie, bo trochę się pospieszyłem - rozpocząłem aukcję zanim wysłałem do eBay'a list, w którym zamierzałem dokładnie wytłumaczyć moje zamiary. Chciałem im powiedzieć - "Ta aukcja jest zgodna z waszym regulaminem i z zasadą nie sprzedawania informacji o lukach typu '0 day' ustanowioną przez sponsora PWN2OWN. Rzeczywiście wystawiony produkt ma aktualnie status '0 day' - ale w momencie zakończenia aukcji już tak nie będzie".

To był mój pomysł na rozpoczęcie licytacji i poznanie choćby orientacyjnej ceny exploita gdy luka wciąż zaliczała się do kategorii '0 day'.


Zobacz również