Si è concluso venerdì 28 marzo il contest PWN 2 OWN, organizzato da Tipping Point, dopo tre giorni di tentativi di cracking.

I tre sistemi messi sotto torchio sono stati un VAIO VGN-TZ37CN con Ubuntu 7.10, un Fujitsu U810 con Vista Ultimate SP1 e un MacBook Air con OSX 10.5.2.

Le regole del gioco

La sfida prevedeva di collegare il proprio notebook via cavo ethernet cross al notebook sotto attacco, e ogni partecipante aveva diritto a sessioni di 30 minuti per cercare di sfruttare una falla 0day per leggere un file all'interno del sistema. Era divisa in tre giornate: il primo giorno si poteva attaccare solo il sistema con installazione base, patchato alle ultime versioni, via rete. Il secondo giorno sono entrate in gioco le applicazioni base per Internet: browser, e-mail e IM. Il terzo giorno sono state installate applicazioni di terze parti.

Il primo giorno hanno retto tutti e tre.

I caduti in battaglia

Il secondo giorno il MacBook ha ceduto in soli 2 minuti. L'hacker ha sfruttato una falla in Safari ed è riuscito a leggere il contenuto del file bersaglio. La falla non è stata rilasciata al pubblico, ma comunicata ad Apple perché venga corretta, e l'hacker, o meglio GLI hacker (Charlie Miller, Jake Honoroff, e Mark Daniel) hanno ricevuto il premio: lo stesso MacBook Air e 10.000 $.

Il terzo giorno ha ceduto anche Vista, nonostante il nuovissimo SP1 installato. L'hacker,  Shane Macaulay, ha sfruttato un buco di Flash, appena installato tra le applicazioni di terze parti, per leggere il file bersaglio. Anche in questo caso il bug è stato segnalato ad Adobe e non rilasciato al pubblico. Shane si porta a casa il Fujitsu e 5.000 $ di premio.

E Linux?

Ha resistito a tutti gli attacchi, naturalmente. :)

Le regole complete del concorso non sono state pubblicate, purtroppo, quindi è difficile fare una valutazione del risultato. Per esempio: il file era nella home dell'utente o in una cartella di sistema. Ed apparteneva all'utente o all'amministratore? I permessi di accesso come erano impostati? Quali software sono stati testati?

Nel caso il file fosse nella home dell'utente, le falle sarebbero sì gravi, ma non gravissime, e completamente “a carico” dei produttori del software bucato (OK, Apple per Safari, ma Adobe per Flash), mentre se fosse stato un file di sistema, il problema sia di OSX che di Vista sarebbe veramente grave, perché avrebbe permesso a un software lato utente di leggere un file di sistema senza chiedere conferme di nessun tipo. Sarebbe una falla grave nel Sistema Operativo.