PWN 2 OWN: Mac pierwszą ofiarą

Reguły się zmieniają

Przez pierwszy dzień nic się nie wydarzyło - nikt nie zdołał włamać się do żadnego z trzech "wystawionych" maszyn. Dlatego też, aby podgrzać atmosferę, organizatorzy konkursu zdecydowali się na zmodyfikowanie zasad rozgrywki - pozwolili uczestnikom na korzystanie z tych komputerów w podstawowym zakresie. Zezwolono m.in. na wykonanie kilku standardowych czynności, takich jak np. otwieranie stron WWW czy odczytywanie wiadomości e-mail.

PWN 2 OWN 2007

Podczas ubiegłorocznej edycji PWN 2 OWN zwycięzcą został nowojorczyk Dino Dai Zovi (współpracujący z niejakim Shane'm Macaulay'em), który wykorzystał do włamania się do Mac OS X lukę w zabezpieczeniach QuickTime'a (choć początkowo wydawało się, że problem dotyczy przeglądarki Safari). Podobnie jak w tym roku w pierwszej fazie konkursu nikt nie był w stanie włamać się do komputera - dlatego po pewnym czasie uczestnikom zezwolono na uruchamianie w maszynie podstawowych aplikacji.

Warto przypomnieć, że w ubiegłym roku w pierwszej fazie konkursu nagrodą był jedynie sam komputer - gratyfikację pieniężną dodano dopiero, gdy uczestnicy zaczęli narzekać, że sam notebook to za mało (choćby dlatego, że informację o luce można sprzedać za znacznie wyższą kwotę niż wartość komputera).

Więcej informacji o zeszłorocznej edycji konkursu można znaleźć w tekście "Obiekt: MacBook Pro. Cel: włamanie. Nagroda: 10 tys. USD".

W nowej sytuacji jako pierwszy do działania przystąpił Charlie Miller, były pracownik amerykańskiej Narodowej Agencji Bezpieczeństwa (NSA - National Security Agency), ceniony specjalista ds. bezpieczeństwa (był jedną z pierwszych osób, które w ubiegłym roku zdołały złamać zabezpieczenia iPhone'a). Miller wybrał komputer z Mac OS X - wykorzystał przeglądarkę internetową do otwarcia przygotowanej wcześniej strony WWW, której wyświetlenie spowodowało zainstalowanie w systemie złośliwego kodu pozwalającego na przejęcie pełnej, zdalnej kontroli nad systemem. Specjalista potrzebował na to niespełna dwóch minut, a jego wyczyn został oficjalnie potwierdzony przez nadzorującego próbę przedstawiciela firmy TippingPoint.

Tajny błąd

Na razie nie wiadomo, w jakiej aplikacji znajdowała się luka wykorzystana przez Millera - natychmiast po ogłoszeniu udanego włamania specjalista zobowiązał się do nieujawniania informacji na ten temat do czasu powiadomienia Apple'a o szczegółach problemu (zobowiązał go do tego organizator konkursu). Najbardziej prawdopodobne jest jednak, że problem dotyczy przeglądarki Safari. Z wypowiedzi przedstawicieli TippingPoint wynika, że Apple potwierdził już informację o problemie i firma przygotowuje odpowiednie uaktualnienie.

Luka warta 50 tys.

Za udane włamanie do Mac OS X Charlie Miller otrzymał 10 tys. USD nagrody oraz komputer, do którego się włamał. Warto jednak zaznaczyć, że nie jest to najwyższa nagroda, jaką ten specjalista zdobył za znalezienie błędu w popularnym oprogramowaniu - w 2005 r. za raport na temat poważnej luki w Linuksie anonimowa amerykańska agencja rządowa zapłaciła mu 50 tys. USD.

Fizyczny dostęp = włamanie?

Przypadek konkursowego MacBooka Air jest kolejnym dowodem na to, jak trudno jest zabezpieczyć komputer przed atakiem, jeśli "napastnik" może uzyskać fizyczny dostęp do maszyny. Problem nie dotyczy oczywiście jedynie Mac OS X - zaledwie kilka tygodni temu informowaliśmy, iż pewien nowozelandzki ekspert ds. komputerowego bezpieczeństwa opublikował narzędzie umożliwiające błyskawiczne uzyskanie dostępu do systemu Windows z wykorzystaniem portu FireWire. Program o nazwie Winlockpwn umożliwia obejście mechanizmu autoryzacyjnego Windows. czyli np. odblokowanie komputera lub zalogowanie się bez podania hasła. Do skutecznego przeprowadzenia włamania wymagany jest fizyczny kontakt z atakowanym komputerem. Wystarczy połączyć dwa komputery - "bazowy" pracujący pod kontrolą Linuksa i atakowany, z Windows - kablem FireWire. Więcej informacji na ten temat znaleźć można w tekście "Windows zhakowane przez FireWire".

Podczas konkursu wśród uczestników pojawił się m.in. ubiegłoroczny zwycięzca - Dino Dai Zovi (w zeszłym roku zdołał włamać się do Mac OS X przez lukę w zabezpieczeniach QuickTime'a). Dai Zovi nie wziął udziału w tegorocznej edycji - stwierdził, że teraz chce dać szanse innym. W szranki stanął za to jego współpracownik sprzed 12 miesięcy - Shane Macaulay. Spędził on większość czwartku próbując włamać się do notebooka z Vistą - na razie bez efektów.

Vista i Ubuntu wciąż na celowniku

Podczas ostatniego dnia konkursu uczestnicy wciąż będą starali się sforsować zabezpieczenia komputerów z Windows i Linuksem - niewykluczone więc, że wkrótce poznamy kolejnych zwycięzców (tym bardziej, że do konkursu ma stanąć kilku nowych specjalistów o sporym doświadczeniu). Terri Forslof z TippingPoint tłumaczy, że wygranie PWN 2 OWN nie jest takim prostym zadaniem - bowiem nawet jeśli jakiś uczestnik znajdzie błąd w oprogramowaniu, to będzie to dopiero połowa sukcesu. "Znaleźć dziurę to jedno - ale stworzyć na szybko exploit, który pozwoli na wykorzystanie jej do przeprowadzenia skutecznego ataku na system to zdecydowanie bardziej skomplikowane zadanie" - mówi przedstawicielka TippingPoint.

Warto jednak zaznaczyć, że trzeciego dnia zasady konkursu ulegną dalszemu "poluzowaniu" - możliwe będzie atakowanie nie tylko systemu i aplikacji dostarczonych przez jego producenta, ale także popularnych programów innych firm, które zwykle instalowane jest wraz z OS-em. "Wątpię, czy uda nam się zabrać do domu jakiś komputer - sądzę, że obydwa systemy zostaną skutecznie zaatakowane" - mówi Forslof.

Więcej informacji znaleźć można na stronie konferencji CanSecWest.