Pwn2Own – спечели всичко, което можеш да хакнеш

Последен ъпдейт на 4 май 2020 в 11:58 ч.

Pwn2Own е инициатива, която поставя скромното си начало през 2007 г. Състезанието е плод на недоволството на създателя му, Драгос Руиу, подразнен от нехайството на Apple относно пробойните в сигурността на продуктите им.

Вдъхновен от тогавашния мит, че Apple компютрите поначало са ваксинирани срещу вируси, Руиу решава да обогати конференцията с още едно занимание. Той оставя два Macbook Pro 15” в залата и информира посетителите, че първите двама, които успеят отдалечено да пробият сигурността им, могат да си тръгнат с тях. В резултат на това се откриват две значими уязвимости в Quick Time плейъра и победителите отнасят още $10 000 в замяна на информацията за тях. За жалост, крайните потребители и до ден днешен са убедени в безупречността на Apple машините си…

В последващите години събитието постепенно добива днешния си вид. Заобикалянето на механизми и протоколи за сигурност в най-новите или “изгряващи” устройства и софтуер, продължава да бъде предизвикателство номер едно пред участниците. Това, което се променя динамично, са наградите. Те придобиват все по-впечатляващ вид, тъй като все повече производители проявяват интерес сигурността на продуктите им да бъде тестванa от опитни етични хакери, формиращи отбори от цял свят

Държавна забрана

През 2018 г. някои от най-влиятелните участници отпадат, след като Китай забранява на свои граждани да участват в състезанието и не допуска споделянето на информация за уязвимости на чужди страни като цяло. Въпреки това, наградният фонд значително натежа миналата година, след като Тесла предостави един от седаните си – иновативният модел 3 – като награда за събитието. Спечелилите го участници отнесоха и над четвърт милион долара като парично допълнение за намерената уязвимост в системата за развлечения на електромобила.

Принудителни промени

Тазгодишното издание на Pwn2Own въведе промени, които вероятно ще се задържат дълго след изтичане на обстоятелствата, които ги изискват. Поради пандемията от COVID-19 и местните регулации за справяне с нея, организаторите бяха принудени да проведат състезанието изцяло онлайн. Въпреки наложените промени в правилата и намалелия брой участници, състезанието е увенчано с успех.

Благополучният му край до голяма степен се дължи на един от страничните ефекти на новия формат – хора от цял свят могат да вземат участие, без да бъдат спирани от визи или наложени ограничения. Резултатът е 13 значителни софтуерни уязвимости, намерени в рамките на два дни и общо четвърт милион долара раздадени награди. Успехът на първото изцяло виртуално състезание е неочаквана изненада. Според тях обаче това трайно ще промени начина, по който ще се провеждат бъдещите издания.

Постижения

Част от постиженията на участниците в първия Pwn2Own за 2020 г. са:

• Експлоатиране на уязвимост в Apple Safari с ескалиране на привилегии в ядрото на macOS системата с награда: 70 хил. USD. Отборът е използвал верига от 6 последователно експлоатирани бъга, за да достигне до крайната си цел.
• Две награди за локална ескалация на привилегии в Microsoft Windows чрез експлоатиране на UAF (Use-after-free) уязвимости на обща стойност 80 хил. USD.
• Експлоатиране на неправилна валидация на входни дании в Ubuntu Desktop за локална ескалация на привилегии с награда 30 хил. USD
• Използване на UAF уязвимости в Adobe Acrobat Reader и Windows за постигане на контрол върху системата с награда 50 хи. USD.

Успехът на първото изцяло виртуално състезание е неочаквана изненада за организаторите. Според тях обаче това трайно ще промени начина, по който ще се провеждат бъдещите издания