Pwn2Own 2011: caen Internet Explorer 8 y Safari, a Chrome ni lo tocaron

Send to Kindle

Pwn2Own es una competencia de hacking que se lleva a cabo en el marco de las conferencias sobre seguridad CanSecWest; en este se trata de hackear navegadores y ahora por lo que veo también plataformas de dispositivos móviles. En el primer día de la competencia, el primer navegador en caer fue Safari 5.0.3 de Apple, donde una firma de seguridad francesa logró elaborar un ataque que tomó 5 segundos, durante el cual hicieron que a través de una página maliciosa el navegador abriera la calculadora y escribiera un archivo a disco; en pocas palabras, ejecución de código arbitrario y por si fuera poco, brincarse el sandbox de Safari. El siguiente fue Internet Explorer 8 sobre Windows 7 64 bits con Service Pack 1, el cual cayó con las mismas vulnerabilidades que Safari, aunque costó más trabajo porque para hacer lo mismo se requiere de 3 vulnerabilidades en conjunto.

El tercer navegador que iba a ser probado el primer día era Chrome, pero el participante no apareció por ningún lado; la razón quizás sea que Google, inteligentemente debo decir, parchó Chrome hace unos días y tapó 24 agujeros de seguridad, uno de los cuales (o varios) usaría el atacante, razón por la cual desistió y se perdió los USD $20,000 que se ofrecían por hackear Chrome, por lo tanto, sigue vivo, aunque sea por default.

Otros caídos durante el Pwn2Own fueron algunas plataformas móviles como iOS y BlackBerry; se lograron con éxito hackear tanto un iPhone como una BlackBerry Torch, aunque dos smartphones con Android y Windows Phone 7 ni siquiera fueron retados, y todavía falta saber que destino correrá FireFox.

Como podrás ver, no se menciona a Opera por ningún lado; la razón es que para los organizadores del torneo, Opera no tiene un mercado significativo, y por lo tanto no lo toman en cuenta, a pesar de que el motor de rendering Presto si es bastante usada en otras plataformas.

Vale la pena reflexionar sobre los resultados del Pwn2Own; es decir, Safari cayó en 5 segundos a pesar de haber sido parchado con anterioridad, Internet Explorer siempre ha sido basura y a Chrome parece que le tuvieron miedo, ¿verdad? la realidad es que no es tan sencillo: Chrome no es invencible, sólo tienen que darle más tiempo a los investigadores y a hackers (¿cuál es la diferencia entre ambos? ) y aparecerán otros problemas de seguridad, y Safari e Internet Explorer no son tan malos como lo parece. Es virtualmente imposible tener software completamente seguro, pero lo que si podemos tener es software que se lo ponga difícil a los malos, y por ahora – y en cuestión de navegadores – , ese es Chrome.

Fuentes: Ars Technica, Computer World, Coinceivably Tech

Send to Kindle