![[HaBo]](/styles/default/logoklein.png)
Beim diesjährigen pwn2own Contest blieb Linux ungeknackt! Obwohl einige Sicherheitslücken entdeckt wurden befanden die Teilnehmer, dass der Aufwand sie auszunutzen im Rahmen der Veranstaltung unverhältnismäßig hoch wäre.
Erstmal weiterführende Links:
http://cansecwest.com/ --> Security Conference auf der jährliche pwn 2 own stattfindet
http://www.engadget.com/2008/03/29/linux-becomes-only-os-to-escape-pwn-2-own-unscathed/ --> Englische Berichterstattung
Hier nun eine kurze Zusammenfassung von mir selbst:
Beim pwn 2 own contest ging es darum, wer als schnellstes ein spezfisches System unter seine Kontrolle bringen konnte. Dabei konnten die Teilnehmer selbst aussuchen ob sie gegen ein MacBookAir, Windows Vista oder Ubuntu 7.10 antreteten wollten.
Am Ersten Tag waren die Teilnehmer lediglich im selben Netzwerk wie die Ziele, Zugriff war also höchstens remote möglich. Alle Ziele waren auf dem aktuellsten Patchlevel und nur keine zusätzlichen Programme waren nach der Installation aufgespielt worden.
Keines der Systeme konnte am ersten Tag übernommen werden.
Ab Tag 2 konnten die Angreifer dann einfache Befehle an Benutzer an den Zielrechnern schicken, wie zB einen Link zu öffnen. Die Anweisungen mussten so einfach gestaltet sein, dass jeder DAU sie ausführen könnte. Die Installation zusätzlicher Programme war nach wie vor verboten. Ab diesem Moment wurde das MacBookAir innerhalb von 2 Minuten unter die vollständige Kontrolle des Angreifers gebracht, offenbar genügte es den Benutzer aufzufordern eine vorbereitete Seite zu öffnen. Die genaue Lücke ist nicht bekannt, es steht jedoch außer Zweifel dass der Fehler an Safari liegen muss (ob dieser dadurch auch auf zB Windows verwertbar ist, ist unbekannt).
Einige Stunden Später musste sich dann auch Vista beugen. Dort wurde offenbar ein Fehler in Java ausgenutzt um die Windows Security auszuschalten.
Ubuntu 7.10 konnte nicht übernommen werden. Zwar wurden einige Sicherheitslücken gefunden die potentiell zu diesem Ziel geführt hätten, jedoch im Rahmen der Veranstaltung offenbar nicht durchführbar waren, da es zu aufwändig gewesen wäre, den benötigten Code zu schreiben.
Alles in allem ne geile Sache, das gönn ich den Mac Fanbois die sonst immer die Windows-Benutzer auslachen und verhöhnen. Eat that!
Erstmal weiterführende Links:
http://cansecwest.com/ --> Security Conference auf der jährliche pwn 2 own stattfindet
http://www.engadget.com/2008/03/29/linux-becomes-only-os-to-escape-pwn-2-own-unscathed/ --> Englische Berichterstattung
Hier nun eine kurze Zusammenfassung von mir selbst:
Beim pwn 2 own contest ging es darum, wer als schnellstes ein spezfisches System unter seine Kontrolle bringen konnte. Dabei konnten die Teilnehmer selbst aussuchen ob sie gegen ein MacBookAir, Windows Vista oder Ubuntu 7.10 antreteten wollten.
Am Ersten Tag waren die Teilnehmer lediglich im selben Netzwerk wie die Ziele, Zugriff war also höchstens remote möglich. Alle Ziele waren auf dem aktuellsten Patchlevel und nur keine zusätzlichen Programme waren nach der Installation aufgespielt worden.
Keines der Systeme konnte am ersten Tag übernommen werden.
Ab Tag 2 konnten die Angreifer dann einfache Befehle an Benutzer an den Zielrechnern schicken, wie zB einen Link zu öffnen. Die Anweisungen mussten so einfach gestaltet sein, dass jeder DAU sie ausführen könnte. Die Installation zusätzlicher Programme war nach wie vor verboten. Ab diesem Moment wurde das MacBookAir innerhalb von 2 Minuten unter die vollständige Kontrolle des Angreifers gebracht, offenbar genügte es den Benutzer aufzufordern eine vorbereitete Seite zu öffnen. Die genaue Lücke ist nicht bekannt, es steht jedoch außer Zweifel dass der Fehler an Safari liegen muss (ob dieser dadurch auch auf zB Windows verwertbar ist, ist unbekannt).
Einige Stunden Später musste sich dann auch Vista beugen. Dort wurde offenbar ein Fehler in Java ausgenutzt um die Windows Security auszuschalten.
Ubuntu 7.10 konnte nicht übernommen werden. Zwar wurden einige Sicherheitslücken gefunden die potentiell zu diesem Ziel geführt hätten, jedoch im Rahmen der Veranstaltung offenbar nicht durchführbar waren, da es zu aufwändig gewesen wäre, den benötigten Code zu schreiben.
Alles in allem ne geile Sache, das gönn ich den Mac Fanbois die sonst immer die Windows-Benutzer auslachen und verhöhnen. Eat that!
