Ihærdig indsats gør Chrome til første offer i stor hacker-konkurrence

8. marts 2012 kl. 12:197
Det krævede hårdt arbejde, men så kunne en gruppe franske hackere også bryde sikkerheden i Google-browseren Chrome på årets Pwn2own-hackerkonkurrence.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Google-browseren Chrome faldt til jorden som den allerførste under dette års Pwn2Own-hackerkonference, skriver ZDNet.

Det skyldes en målrettet indsats fra en gruppe franske hackere, der havde sat sig for at demonstrere, at selv Google Chrome, der var sidste års mest sikre browser på konferencen, kunne hackes.

Hackerne fra det franske firma VUPEN har skrevet et exploit, der udnytter to ikke-patchede sårbarheder - en i Windows og en i Chrome - til at overtage kontrollen med en 64-bit Windows 7-pc med Service Pack 1.

Den første sårbarhed udnyttede hackerne til at slippe uden om Windows' sikkerhedsmekanismer DEP og ASLR - den anden til at slippe forbi Chromes sandkasse, der er browserens lukkede miljø til afvikling af blandt andet Flash.

Startede Windows-lommeregneren

VUPEN demonstrerede sårbarheden ved at sætte et ondsindet link ind på en hjemmeside.

Artiklen fortsætter efter annoncen

Da der blev klikket på linket på testmaskinen, blev exploitet afviklet, hvorefter Windows' indbyggede lommeregner Calc.exe kiggede frem på skærmen - helt uden om Chromes sandbox.

Det har dog krævet en målrettet indsats at nå så langt med Chrome, som VUPEN generelt har respekt for, når det kommer til sikkerheden.

»Chrome-sandbox'en er den mest sikre derude. Det er ikke nogen nem opgave at skrive et komplet exploit, der slipper forbi alle beskyttelsesmekanismerne i sandbox'en,« siger leder af VUPEN, Chaouki Bekrar, ifølge ZDNet.

7 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
4
8. marts 2012 kl. 18:36

Nu er det jo heller ikke just 'bare en bærbar' - der er trods alt rimeligt mængde penge på spil, men tjo den fame VUPEN får, har nok også en vis værdi :)

2
8. marts 2012 kl. 14:39

Det ville være godt at høre hvad Google mener om at nogen er sluppet "uden om" Sandkassen - eller er de ? hvad siger Google ?

7
9. marts 2012 kl. 12:05

De har allerede rettet fejlen, så de anerkender fuldt ud at det lykkedes at finde en sprække. Og de glæder sig over hjælpen.

Nej, det du skriver om har intet med Pwn2own/VUPEN at gøre. Som det også fremgår af dine to links ar er det : "long-time Chromium contributor Sergey Glazunov" som har deltaget i Google konkurrencen "Pwnium". Han har vundet $60000. Han har fortalt Google hvordan han har udført handlingen, Google vil fremlægge i detaljerne om sårbarheden i fuld offentlighed når de fleste brugere har fået en chance for at opdatere. (Opdatering af Windows maskiner er automatisk og igang nu)

Pwn2own/VUPEN bliver ignoreret af Google (som i 2011). Dette tolker jeg som at Google ikke tror der er noget sikkerhedshul, før end de har set noget bevis. Pwn2own reglerne er i 2012 lavet om så man ikke (i praksis) kan efterprøve om der er noget hul.

1
8. marts 2012 kl. 13:22

Disse hacker tests har meget mere at gøre med om den version som der bliver udsat for angreb lige er blevet opdateret eller om det er 1 måned siden den blev opdateret.

Det siger absolut intet om hvor udsat man er ved at bruge crome at den blev hacket på 5 minutter eller 2 timer det har mest noget at gøre med hvilket mål arrangørene sætter først på programmet og om dem der er "black hats" har et hjemefra forberedt angreb der ikke blev forhindret af et af de seneste sikkerhedsfiks.

Alle systemer kan hackes hvis man har nok resourcer, tid og mandskab, problemet er hvis det er super nemt at hacke en og det kan automatiseres, ikke om man ved et målrettet angreb kan "pwne systemet". Det svare til at vurdere om almindelige huse er sikret mod sammenstyrtning når det angribes med en håndgranat ved at teste om huset kan modstå et strategisk atomvåben. IE. Meningsløst, da selv specialhærdede systemer kan hackes hvis angriberen har nok tid til at forberede sig.

6
9. marts 2012 kl. 11:56

@Jakob

Hvis du ellers gad at sætte dig ind i, hvad du snakkede om, så ville du vide, at det er FULDT opdaterede og FULDT patchede programmer, som de arbejder med. Det var den nyeste version af Chrome og en fuldt opdateret Windows 7 maskine, som de fik fuld adgang til.

Dét, Vupen gjorde, var svært, men nu hvor de har gjort det, er det intet problem at omdanne det til et drive-by exploit eller lægge det ind alle mulige steder, spamme verden med emails med links som udfører angrebet, osv.

Det fede her er bare, at Google nu får exploit koden, så de kan fixe problemet. Vupen kunne ligeså godt have gået blackhat vejen og enten selv angrebet verden eller solgt deres exploit på det sorte marked.

3
8. marts 2012 kl. 15:04

Lighten up! Det er da en super fed måde at få sikkerheds hackere til at afprøve om ens produkt er godt nok.

VUPEN gør det sikkert ikke for at vinde en bærbar, men mon ikke de nok skal få en masse fede konsulent opgaver på det her.