È costato solo 20 secondi l’hacking di un iPhone a Ralf-Philipp Weinmann (ricercatore all’Università del Lussemburgo) e Vincenzo Iozzo (ricercatore presso Zynamics). Pwn2Own è il concorso annuale di hacking che si svolge durante CanSecWest, la maggiore conferenza internazionale di sicurezza digitale.
Oltre alla fama, la conferenza offre premi per ricompensare gli exploit, i quali devono avvenire per iniezione di codice e la sua esecuzione remota. Weinmann e Iozzo hanno quindi ricevuto 15.000$ (circa 11.250€), oltre agli iPhone nuovi di zecca di cui hanno penetrato le difese.
L’exploit ha sfruttato un bug ancora sconosciuto agli sviluppatori. Con il Safari dell’iPhone, Iozzo e Weinmann hanno navigato su una pagina opportunamente preparata, dalla quale è stato possibile sfruttare un bug di sicurezza per rubare il database degli SMS. Questa tecnica non ha richiesto violare nessuno dei meccanismi che impediscono l’esecuzione di programmi non-firmati. Sembra che finora nessuno aveva usato il “return-oriented programming” su un chip ARM, normalmente usato sugli smartphone.
La tecnica potrebbe, in linea del tutto teorica, essere usata per accedere anche ad altri dati presenti sull’iPhone, come musica o foto.
Altri risultati del Pwn2Own 2010 riguardano IE8, Firefox e MacBook Pro. Peter Vreugdenhil è riuscito a violare le difese di Internet Explorer 8 su Windows 7, malgrado l’uso di ASLR e Data Execution Prevention (DEP). L’hacker conosciuto come “Nils”, star della competizione dell’anno scorso, è riuscito a penetrare Firefox. Charlie Miller si è aggiudicato il MacBook Pro in palio, sfruttando un bug di sicurezza in Safari.
Adesso ci aspettiamo che Apple, che è stata avvertita dei dettagli degli exploit, rilasci nuove update per correggere i bug di sicurezza.
[Via The H security | Foto Balazs Gal]
Seguici
melablog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, Chi siamo, Condizioni di utilizzo, Privacy.
© 2004-2012 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Melablog.it contattare la concessionaria esclusiva Populis Engage.
menestrello
25 mar 2010 - 17:03 - #1PEr quanto riguarda gli altri risultati del Pwn2Own 2010 Charlie Miller si è aggiudicato il MacBook Pro perchè è stato il primo a bucare uno dei tre browser in competizione ovvero Safari :)
Diciamo che non è spiegato molto bene :)
rogerdodger
25 mar 2010 - 17:10 - #2hanno bucato un po’ di tutto come sempre accade. e come sempre accade il premio non è mai un pc win ma un MacBook Pro :)
menestrello
25 mar 2010 - 17:16 - #3Spe momento Roger troppo facile cosi’ ;)
Questi sono i premi se non sbaglio e si vince il primo che riesce a bucare il sistema
# Apple Macbook Pro 15″
# HP Envy Beats 15″
# Sony Vaio 13″
# Alienware M11x
Quindi non è che vincono sempre il MacBook è che il Mac è sempre il primo a cadere ;)
trollone
25 mar 2010 - 20:05 - #4da quello che leggo quindi Adroid e Rim hanno resistito, bene.
foxtrott
25 mar 2010 - 20:11 - #5e come sempre accade il premio non è mai un pc win ma un MacBook Pro
peccato che il premio, oltre al denaro, sia il computer “bucato”, chi ha bucato il Mac si e’ preso il Mac, chi ha bucato il PC si e’ preso il PC… informati prima di sparare azzate ;)
Imetalsho
25 mar 2010 - 21:43 - #6@rogerdodger
Quante mazzate :(
MrMoleskine
25 mar 2010 - 23:16 - #7O forse tutti vogliono il MacBook per cui è il primo che tentano di bucare! ;)
zz-2
25 mar 2010 - 23:24 - #8perché è il più facile, per loro :-P
von_neumann
26 mar 2010 - 00:49 - #9I concorrenti si portano a casa, oltre ai soldi, le macchine su cui hanno dovuto lavorare… e l’accoppiata Safari-OS X non la si può avere al di fuori di un Mac.
Infatti, come è riportato anche da questa notizia, “Weinmann e Iozzo hanno quindi ricevuto 15.000$ (circa 11.250€), oltre agli iPhone nuovi di zecca di cui hanno penetrato le difese.”
E Miller si è aggiudicato anche il MacBook Pro (oltre al premio in denaro) semplicemente perché ha violato per primo Safari-OS X su cui erano installati.
Chi ha violato Explorer e Firefox si è portato a casa i PC su cui erano installati i 2 browser su Sistema Operativo Windows 7.
Domani toccherà sempre ad Explorer e Firefox, ma su Vista e dopodomani su Windows XP (almeno ricordo così).