Polowanie na jednorożce podczas pwn2own: 150 tys. dolarów za złamanie IE11 z EMET-em

Dotychczas w konkursach z serii pwn2own Internet Explorer nie miałzbyt wiele szczęścia – w kolejnych latach zachęceni okazją dozdobycia sławy i pieniędzy hakerzy, korzystając z uprzedniosprawdzonych luk 0-day, sprawnie radzili sobie z IE8, IE9, IE10 orazIE11. Nie pomogły mechanizmy zabezpieczeń Windows, przygotowywaneprzez uczestników konkursu exploity umożliwiały skuteczne, zdalneataki na przeglądarkę Microsoftu, upewniając internautów, że jeślichodzi o bezpieczeństwo, to Redmond musi się jeszcze wiele nauczyć.W tym roku sytuacja może być jeszcze ciekawsza. Sponsoremorganizowanego w ramach hakerskiej konferencji CanSecWest konkursuzostał HP. Firma opublikowała już reguły, według których pwn2own 2014będzie się odbywało, przyciągając uwagę wszystkich zainteresowanychnową konkurencją, niespotykaną dotąd w tego typu konkursach. [img=jednorozec]Konkurencja, mająca być w założeniu najtrudniejszą spośródprzygotowywanych, nosi nazwę Exploit Unicorn. Zwyciężenie w niejwymagać będzie sforsowania wielu poziomów zabezpieczeń InternetExplorera 11, uruchomionego na 64-bitowym Windows 8.1 z uruchomionymzestawem narzędzi rozszerzonego środowiska ograniczającego ryzykoEMET.EMET został pomyślany w Microsofcie jako mechanizm proaktywnegoograniczania ryzyka w zakresie zabezpieczeń, tworzącym izolowanestrefy w systemie operacyjnym, utrudniające wykorzystanie exploitówprzygotowanych zarówno dla oprogramowania systemowego jak iniezależnych aplikacji. Czyni to zmuszając aplikacje do wykorzystaniakluczowych mechanizmów ochronnych Windows, w tym randomizacjiprzestrzeni adresowej (ASLR) i zapobiegania uruchomieniu danych(DEP).Na tych znanych od lat technikach obronnych możliwości EMET sięnie kończą: mechanizm SEHOP (structured exception handler overwriteprotection) służy do ochrony przed przepełnianiem bufora, zestawnarzędzi od wersji 4.0 chroni też przed atakami typuROP (return-oriented programming), w których wrogi kod jestdynamicznie budowany z elementów już obecnych w uruchomionym kodzie.Finalnie EMET pozwala na blokowanie ataków wykorzystującychsfałszowane certyfikaty SSL w przeglądarce, tworząc białą listęzaufanych cyfrowych notariuszy.Pokonanie tych wszystkich zabezpieczeń nie będzie łatwe, ale inagroda nie jest mała. Zwycięzca Exploit Unicorn otrzyma od HP 150tys. dolarów – informatyczny gigant traktuje bowiem konkursjako część swoich starań na rzecz inicjatywy Zero-Day.Microsoft, choć w żaden sposób do nagrody się nie przyłożył, będziejednak beneficjentem konkursu – otrzyma informacje o wszystkichwykorzystanych do ataków przeciw jego oprogramowaniu lukach (to samodotyczy pozostałych producentów oprogramowania).Obejście zabezpieczeń Microsoftu może okazać się całkiem realne.Eksperci HP przyznają, że zgłosił się do nich haker oferującysprzedaż exploitu do EMET-a. Dlatego też, jak twierdzi Brian Gorenc,menedżer projektu badań nad lukami w oprogramowaniu, celowo wymyślonotak trudną konkurencję, zmuszającą hakerów do działania w warunkachna co dzień niespotykanych. Wysokość nagrody przyciągnąć manajlepszych z najlepszych. Hakerzy nie mający sposobu na EMET-a mogą oczywiściezademonstrować swoje umiejętności w pozostałych konkurencjach.Sforsowanie zabezpieczeń Google Chrome na 64-bitowym Windows 8.1przyniesie hakerowi 100 tys. dolarów. Tyle samo otrzyma haker, któryporadzi sobie z IE11 (bez EMET-u). Pokonanie w ten sposób Firefoksato nagroda w wysokości 50 tys. dolarów. Skuteczny atak na Safaridziałające na OS-ie X Mavericks przynieść ma 65 tysięcy dolarów.Nagrodzone mają być też skuteczne ataki na wtyczki doprzeglądarek. Za sforsowanie zabezpieczeń oficjalnych wtyczek AdobeFlasha i Adobe PDF Readera przewidziano 75 tys. dolarów, zaś 30 tys.dolarów czeka na twórcę exploita przeciwko wtyczce Javy Oracle'a(zapewne tu nagrodę trzeba będzie dzielić między wielu).Organizatorzy konkursu podkreślają, że wysokość nagrody zależy odtrudności zbudowania działającego exploita, w szczególnościwykorzystywania przez aplikację techniki sandboksa (piaskownicy),izolującej jej procesy od systemu operacyjnego (wówczas exploit musiprzebić się też przez sandboksa).Pwn2own 2014 odbędzie się w trakcie konferencji CanSecWest, 12-13marca w Vancouver. To nie jedyna okazja w najbliższym czasie dlawhitehatów na zarobienie pieniędzy – siostrzany konkurs Pwnium,sponsorowany w całości przez Google, kusi nagrodami w łącznejwysokości 2,71828 mln dolarów. Uczestniczący w nim hakerzy będąścigali się w łamaniu zabezpieczeń systemu operacyjnego Chrome OS.