Pwn2Own e i premi milionari per il security hacking

Il security hacking da parte degli hacker White Hat sta diventando un'attività sempre più lucrativa, a dimostrarlo per l'ennesima volta vi sarebbe anche l'edizione 2014 del Pwn2Own che si è svolta in questi giorni a Vancouver; il Pwn2Own è una competizione durante la quale vengono messi a disposizione premi per svariate migliaia di dollari a disposizione di coloro che riescano a violare i browser più diffusi così come i plug-in e le applicazioni attraverso cui più frequentemente gli utenti malevoli cercano di prendere il controllo di una piattaforma.

Lo scopo del Pwn2Own, manifestazione organizzata dalla Hewlett-Packard, è duplice, da una parte gli hacker si assicurano denaro e prestigio grazie alla loro capacità di smascherare falle in prodotti come Firefox, Internet Explorer, Google Chorme, Apple Safari e Flash Player, dall'altra i vendor hanno l'occasione di migliorare il livello di sicurezza delle proprie applicazioni grazie alle informazioni messe a loro disposizione da White Hat indipendenti.

Nel corso dell'edizione di quest'anno sono stati consegnati nel complesso ben 850 mila dollari in premi sulla base di un jackpot pari a poco più di un milione di dollari, ma la sola società Vupen Security è riuscita ad assicurarsi ben 400 mila dollari per aver scovato una vulnerabilità in Google Chorme. Nel concorrere al Pwn2Own non conta soltanto raggiungere l'obiettivo, in questo caso violare il browser di Mountain View, ma anche essere i più veloci; nello specifico solo un altro team, oltre a quello di Vupen, è riuscito ad ottenere lo stesso risultato, ma in un tempo maggiore.

Come rivelato da Chaouki Bekrar, amministratore delegato della Vupen, la società lavorava già sulle vulnerabilità di Chrome da quasi un mese e mezzo mantenendosi costantemente in contatto con il laboratori di Big G; gli sviluppatori di questi ultimi avrebbero fatto di tutto per risolvere i bug segnalati prima del contest, ma ciò non sarebbe stato sufficiente per mettere l'applicazione al sicuro. Al di là di questo, i tempi necessari per la correzione di un bug dal momento della sua individuazione si sarebbero accorciati proprio grazie a manifestazioni come il Pwn2Own, passando da una media di 180 a 120 giorni.

Per quanto riguarda le altre premiazioni, i cinesi del Keen Team sarebbero riusciti a violare Safari (conseguendo un riconoscimento pari a 65 mila dollari), essi avrebbero svolto anche un'azione di co-hacking ai danni di Adobe Flash; in pratica tutti i gruppi concorrenti in gara, tranne uno, avrebbero hackerato con successo Internet Explorer, mentre il premio più alto tra quelli previsti, 150 mila dollari, non sarebbe stato assegnato. Il relativo contest prevedeva la violazione di Windows 8.1 con Internet Explorer 11 su architettura x64 e in presenza di EMET (Enhanced Mitigation Experience Toolkit).

Da segnalare che durante un'altra competizione svoltasi in contemporanea, la Pwnium con la quale Google metteva a disposizione 2.7 milioni di dollari per la violazione di Chrome OS, il White Hat George Hotz si sarebbe assicurato un premio pari a 150 mila dollari.

Via cNet