Pwn2Own 2013

[farbix89]

Google Chrome su Chrome OS.

Secondo loro non serve nient'altro.

Con tale configurazione si evita il 99,785% delle minacce ed exploit e metti in seria difficoltà anche loro per prendere il controllo del sistema (anche se il loro sorrisino.....).

Negli ambienti underground del mondo security sono molto utilizzate distribuzioni Linux per le cose quotidiane, tutto il resto (Windows e MacOS) per i test e lo scouting dei bug e per creare gli exploit.

Non sono fanatici degli OS,studiano e sperimentano anche 5 OS alla volta,di qualsiasi natura.

Per la cronaca:

Chrome OS non è stato bucato da nessuno.

[farbix89]

Su Opera:

dicono che sia bucabile molto facilmente, ma la scarsa diffusione rende antieconomica la ricerca di bug per tale browser.

Un bug di Chrome e IE frutta anche 30mila dollari "a buco"

[hashcat]

@farbix89
Nel caso di Google Chrome OS bisogna anche considerare la scarsa maturità della piattaforma che ha subito molti meno studi rispetto a Windows (anche a causa del suo modesto market share). A seguire quanto commenta Google riguardo al proprio SO al termine della competizione:

We did not receive any winning entries but we are evaluating some work that may qualify as partial exploits. Thanks to those who attempted, see you next time!

[farbix89]

Partial exploit non sono completi exploit.

Insomma hanno scavato, ma hanno trovato la roccia madre e si sono fermati.

forse con maggiore tempo e con una maggiore diffusione.....

:D

Resta comunque il fatto che "hanno sudato" solo su Chrome OS,ed infatti non hanno concluso nulla e non sono riusciti "a fare danni".

A questo aggiungi che quelli di Google sono già al lavoro per correggere tutti i " bug" sfruttati per i partial exploits.

Un OS per far sudare un hacker bravo per il momento c'è

[sampei.nihira]

Una scarsa diffusione è la chiave di volta....

[farbix89]

Non per essere troppo di parte, ma un Windows al 7% di market share avrebbe gli stessi problemi di adesso.

Idem per il discorso al contrario.

chi può portare le prove che tali affermazioni sono esatte in ambito desktop?

Per lo stesso ragionamento Win95 è il sistema più sicuro del mondo!

Sono discorsi un po' demagogici : Linux domina il mercato dei server (alcuni molto appettibili per gli hacker) e non si sente tutta " la moria" che si vede dietro ai desktop Windows con i suoi forti numeri.

Come mai?

C'è una risposta a tale diversità nella resistenza,partendo dal presupposto che entrambi partono a parità di diffusione(chi in ambito server e chi in ambito consumer)?

[sampei.nihira]

In merito al OS non ci si può fare nulla,Farbix.
Ma nella scelta dei sw spesso è bene prendere in considerazione, anche, questo aspetto.
Ed ancora un'occhio a Secunia per lo storico bugs.

[developerwinme]

Non per essere troppo di parte, ma un Windows al 7% di market share avrebbe gli stessi problemi di adesso.

Idem per il discorso al contrario.

chi può portare le prove che tali affermazioni sono esatte in ambito desktop?

Dubito che sia possibile portare le prove anche del contrario (che secondo me è quello che più si avvicina alla realtà), ma comunque probabilmente è piuttosto complicato per entrambe le tipologie di affermazioni ("pro-Linux" e "pro-Windows").

Linux domina il mercato dei server

E il motivo principale non è la sicurezza (che semmai è un motivo accessorio), ma i costi di licenza, nonché la riusabilità di conoscenze di PHP e altre tecnologie, più diffuse rispetto a quelle delle controparti MS, da parte degli sviluppatori.

e non si sente tutta " la moria" che si vede dietro ai desktop Windows con i suoi forti numeri.

Beh, un server lo gestisce personale qualificato, un desktop non credo. Riprova di questo fatto, il caso dell'attacco al network Sony PlayStation, basato su server Linux, ma gestito male, per usare un eufemismo.

P.S. Ma Android non è forse Linux-based? (o quello non conta?)

[farbix89]

Ma Android non è forse Linux-based? (o quello non conta?)

Ma un qualsiasi Android ha meno malware "potenziali" di un Surface Pro qualsiasi

per dirla in parole povere: su Surface non gira Photoshop,ma i malware girano davvero bene e ingrippano il sistema in maniera davvero "decisa" rispetto ad un qualsiasi malware Android.

Insomma Bagle e i nuovissimi ZeroAccess "fanno festa" anche sui tablet,nonostante Secure Boot.

non c'è ancora partita su questo campo nonostante i market share "invertiti"...qualcosa vorrà pur dire

Android domina il mercato,i suoi malware sono in aumento....Surface Pro con il suo market share bassissimo ha più malware di Android?

Paradosso

[farbix89]

Sulla questione Android=tanti malware,c'è da dire che:

Se si usa Android da Android=non si prende nessun virus.

Se si usa Android come un Windows qualsiasi=il rischio di prendere virus è elevatissimo.

[sampei.nihira]

Sotto la pagina web twitter del ricercatore Joshua J.Drake (bypass JAVA) al contest:

https://twitter.com/jduck1337

con VUPEN non ci proviamo nemmeno loro rivendono al miglior offerente (anche Governi) le loro informazioni.
Mentre ancora sotto la pagina web Twitter del ricercatore James Forshaw (bypass JAVA) al contest:

https://twitter.com/tiraniddo

@ Farbix e tutti gli altri validi elementi di MLI

ragazzi cerchiamo di fare una cosa intelligente ?

Cerchiamo di ottenere da questi 2 mostri una pagina web,se disponibile naturalmente, con un Poc exploit JAVA ver attuale ?
Sarebbe interessante verificare se con le varie "mitigazioni" JAVA esposte in questo forum l'exploit fallisce oppure no.

[developerwinme]

Cerchiamo di ottenere da questi 2 mostri una pagina web,se disponibile naturalmente, con un Poc exploit JAVA ver attuale ?
Sarebbe interessante verificare se con le varie "mitigazioni" JAVA esposte in questo forum l'exploit fallisce oppure no.

Per quanto interessante, temo che non possa fornirla per via del contratto che firmano per accedere a Pwn2Own.

Ma un qualsiasi Android ha meno malware "potenziali" di un Surface Pro qualsiasi

Il confronto è tra sistemi operativi, non dispositivi specifici e il parco di dispositivi Android disponibili è in condizioni molto peggiori di quanto mostri Windows, dove anche chi ha un dispositivo vecchio (es. Windows XP) continua a ricevere aggiornamenti e supporto per almeno un altro anno (pur avendo un sistema obsoleto). Google è molto più impreparata di Microsoft a gestire un eventuale attacco dei dispositivi Android, perché non ha mai predisposto un sistema di gestione centralizzata degli aggiornamenti (Quanti dispositivi ancora affetti da questa falla ci sono?).

Quello che al momento rende Android più sicuro è solo la minore redditività di un potenziale attacco rispetto ad uno rivolto verso il PC. Allo stesso tempo, l'esistenza di un florido mercato di malware dimostra che l'equazione Linux=sicurezza ad ogni livello ed indipendentemente da qualunque fattore esterno semplicemente non funziona.

per dirla in parole povere: su Surface non gira Photoshop,ma i malware girano davvero bene e ingrippano il sistema in maniera davvero "decisa" rispetto ad un qualsiasi malware Android.

Non vedo per quale motivo sul Surface Pro non possa girare Photoshop, sul mio Windows 8 ci va benissimo anche la CS1.

Surface Pro con il suo market share bassissimo ha più malware di Android?

Surface PRO è un dispositivo con Windows, che ha 20 e passa anni di storia, Android è un sistema operativo: sulla base di cosa li si può confrontare?

P.S. Mi sa che siamo un po' off-topic.

[farbix89]

Per quanto interessante, temo che non possa fornirla per via del contratto che firmano per accedere a Pwn2Own.

Si,confermo...rimane tutto tra loro e i produttori partecipanti

[sampei.nihira]