Výsledky hackerské soutěže Pwn2Own 2013 (diskuse)

[Honz]

Výsledky hekerské soutěže se dozvídáme každý večer ve zprávách...

[pjoter]

Rekl bych, ze tohle je liga mistru, to co se deje u nas posledni dny je pouze okresni prebor. Zitra prijede maminka z lyzovani na ledovci a bude zase par mesicu pokoj...

[Jendа]

to co se deje u nas posledni dny je pouze okresni prebor

Spíš školka.

[pavlix]

Asi tak nějak.

[2X4B-523P]

hacker/cracker - jedna verbež?

[D.A.Tiger]

Ne, ale média to neustále lidem podsouvají

[Michal Vyskočil]

Vývojáři, ale i řada uživatelů, pocit marnosti.

To se píše v kterém z těch odkazovanách článků? Já se dočetl pouze o Exploit techniques and bugs were responsibly disclosed to affected vendors.

Mimochodem technika použitá k prolomení Chrome sandboxu mi přijde pekelně vypečená.

[pavlix]

Taky bych preferoval osobní hodnocení a výkřiky spíše v komentáři pod zprávičkou.

[Jendа]

To je fajn. Ale kolik jich ještě koluje na černém trhu? Opravdu by nebylo nejlepší mít browser v sandboxu jako je to v QubesOS?

[alfonz mucha]

No myslím, že Canonical se jednu dobu pokoušel správně nastavit AppArmor na Firefox a myslím, že se mu to moc dobře nedařilo, jde o to, že ty současné prohlížeče jsou již tak složité a závislé na velké části systému, že efektivní obrana asi moc fungovat nebude.

[Jendа]

Dokud ti to běží na jednom X serveru, nepomůže ti, ani když to spustíš na počítači zazděném ve sklepě.

[asdf]

Na Fedore staci:

sandbox -X -t sandbox_web_t firefox

A Firefox muze tak akorat na net a jde znej tisknout, nic vic (tj. nelze cist ci zapisovat soubory, stahovat cokoliv atd..). Vse hlida SELinux na ktery asi moc exploitu nebude....

[Rovano]

Když myslíš...

[Jendа]

A byl už nějaký? (Co máte proti NSA? :)

Ano, nested X server je jedna z možností.

[Mrkva]

Ano, byl.

[Lol Phirae]

(tj. nelze cist ci zapisovat soubory, stahovat cokoliv atd..)

<sarcasm>Ohromně praktické.</sarcasm>

[Jakub Lucký]

Nastavení, nastavení známe?

[Jendа]

Lael k tomu moudře praví:

Skvěle. Máme browsery které už jsou tak složité, že jsou non-stop děravé a v podstatě kdykoliv je prostřelí partička lidí na hackerské párty. A snažíme se těmi browsery cpát na desktopy pokud možno všechno, včetně emailu, práce s dokumenty, přístupu k informačním systémům, a dokonce hraní her. Katastrofickým příkladem je Google ChromeOS. Aplikace v browseru jsou sice pomalejší, jejich interface je hrozný a prakticky se nedá ovládat z klávesnice, v principu nemohou umět spoustu věcí, ale určitě to má i své výhody. Například děravé browsery i webové aplikace, závislost na připojení...

Místo aby někdo zatáhnul za záchrannou brzdu a zařval "dost, takhle už to dál nejde, pojďme to celé opravit", tak se čím dál víc věcí překlápí do HTML a browserům se přidává další a další funkcionalita, bez ohledu na neopravené a nově vznikající chyby. Díky tomu se dostáváme do stádia, kdy pár tabů browseru spotřebuje GB paměti na to, co lokální aplikace umějí rychleji a pohodlněji s o dva řády nižší spotřebou paměti; u CPU je to podobné.

[walkeer_CZ]

http://www.abclinuxu.cz/zpravicky/chrome-os-na-pwnium-3-neprolomen

takze asi tak :)