Soutěž v crackování: Linux, Mac a Vista

LinuxWorld píše o tom, jak dopadla soutěž v crackování systémů Linux, Mac a Vista na konferenci CanSecWest. Soutěžící měli za úkol nabourat se do systému a spustit vlastní program. Charlie Miller cracknul MacBook Air druhý den, a to během 2 minut. Shane Macaulay potřeboval 2 dny a malou pomoc od přátel, aby nakonec cracknul Windows Vista SP1. Linux necracknul nikdo; přestože někteří ze 400 zúčastněných našli chyby, mnohým z nich se nechtělo vyvíjet exploit potřebný k vyhrání soutěže.

29.3.2008 08:48 | David Watzke | Zajímavý článek

Komentáře

[belisarivs]

Jak mam pochopit vyznam slova "nechtelo". Jako ze to bylo priliz obtizne nebo "prece to Linuxu nepokazime"?

[belisarivs]

Although several attendees tried to crack the Linux box, nobody could pull it off, said Terri Forslof, a manager of security response with TippingPoint. "I was surprised that it didn't go," she said.

Some of the show's 400 attendees had found bugs in the Linux operating system, she said, but many of them didn't want to put the work into developing the exploit code that would be required to win the contest.

Takze zas nic nevime.

[Laco]

Ale vime...

Vieme to ze sa im z roznych dovodov nechcelo exploit vyvyjat. Nedostatok casu, pravidla, sympatie k linuxu a pod...Linux je predsa dobro a Microsoft zlo, tak naseho tucnacika nechame napokoj aj ked stoji za hovno a je plny chyb :)

[ja]

Nevydavaj svoje dristy za fakty.

[David Watzke]

Jako ze to bylo priliz obtizne nebo "prece to Linuxu nepokazime"?

Spíš obtížný, protože mohli vyhrát peníze a ještě notebook, kterej crackli

[kap]

Tak to se nedivím, že první byl te MacBook :)

[Boris Dušek]

LOL

[_____]

[tsLnox]

che che tak to je fakt

[Xerces]

Jako co, že ten Mac je tak snadnej na cracknutí, že po něm šli první aby shrábli nb?

[belisarivs]

Kdyz ti reknu ze ne, dojdes na to pak sam?

[kap]

Aby shrábli noťas.

[Xerces]

Tak jsem asi blbej nebo uz je pozde.

[Michal Kubeček]

Nejspíš někdo považuje MacBook za výrazně hodnotnější cenu než ty zbývající stroje. Každý máme nějakou tu úchylku… :-)

[petr_p]

Nechtělo, protože to dá moc práce.

Klasické schéma je, že zjistíte verzi softwaru, který na stroji běží, pak z dostupných zdrojů dohledáne známou zranitelnost a exploit a ten použijete. Velice snadné.

Problém je, že o té zranitelnosti musíte vědět a musíte napsat nebo najít hotový exploit. A právě nic hotového pro linuxový stroj nebylo (ať už kvůli rozmanitosti linuxových strojů nebo kvůli jejich malému rozšíření na poli desktopů). Napsání funkčního exploitu je práce velmi dlouha. Napsání exploitu na systém, kde si nejste jisti, verzí ostaních komponent, ani že daná komponenta na tom stroji bude, je prakticky nemožné.

[svaca]

Ono to asi bylo slozitejsi ... Toho Macbooku pry cracknoul tak rychle, protoze ta chy bala starsiho data a on o ni vedel ... tak toho jen vyuzil na soutezi ....

[Michal Kubeček]

Tím hůř…

[svaca]

no horsi je podle me to, ze bud nenahlasil chybu, nebo toho nevyuzil drive ... Ale chtel jsem tim rict, ze byl asi pripraveny, treba tu chybu odhalil po tydnu ...

A ne za dva dny ..

[Michal Kubeček]

Aha, tak to by byla jiná. Já to pochopil tak, že to byla chyba, která byla (všeobecně nebo aspoň autorům) známá už nějakou dobu.

[Prcek]

Ne, nekde jinde jsem cetl, ze odmitl chybu popsat, nez to nahlasi autorum, a exploit mel pripraveny (ale nevim, jak dlouho)

[Filip Jirsák]

Jenom doplním informace z článku – 1. den byl k počítačům jenom přístup po síti, a cracknout počítač se nepodařilo nikomu. Druhý den byly podmínky uvolněny a bylo možné požádat organizátory, aby s počítačem např. navštívili nějakou webovou stránku nebo otevřeli e-mail. Toho právě využil Miller a během dvou minut požádal organizátory, aby navštívili jeho stránku s exploitem – takže do počítače pronikl skrz Safari (a vyžadovalo to akci uživatele – navštívit jeho stránku s exploitem).

Takže Safari třeba bude prvním prohlížečem, který projde Acid3 testem proti vůli uživatele

[Ilfirin]

Díky za doplňující info. Asi si budu muset přečíst originál, zní to dost zajímavě.

Náš administrátor shledal tento komentář závadným.

zbytečné vulgarity

Zobrazit komentář

[----]

A pak ses probudil...

[sssssssss]

Tyhle testy jsou úplně o ničem...

[belisarivs]

Neumis cist? Chyba nebyla v Jave ale ve Viste. Java jenom zjednodusila zneuziti chyby.

A ke zneuziti exploitu v Linuxu byli crackeri motivovani notebookem za odmenu.

O bezpecnosti ve Viste vim sve. Jen si vzpomenu na tilt bity a DRM, uz je mi zle.

[Filip Jirsák]

Že jste se do té soutěže nepřihlásil, mohl jste mít notebook zadarmo. Akorát byste si musel udělat trochu přehled v některých technologiích, abyste si příště nepletl Javu od Sunu s Flashem od Adobe…

[Sešívaný]

Tvoje příspěvky stojí taky za hovno a našlo se hned několik lidí, kteří si dali tu práci na ně reagovat.

[ja]

Diagnoza: bud PR, alebo dusevny chudacik.

[Já Já Já Jenom Já]

Bud taky laskavy ty buzna a nepis za mna.

[ja]

Si tak necitlivy!

[R]

A ty si ten najvacsi expert, ktory by ten linux crackol hned ten prvy den. Len sa ti nechcelo prihlasovat sa do takej sutaze...

[lmanik]

Bez pryc trolle!

[t3mpu5]

Lol (btw jsem teď zjistil ... víš, že bydlíme pár domů od sebe?)

[lmanik]

:D co? :D

[lmanik]

no ted sem se byl poradne probudit a zeptam se lip :)... :-O znam te, zname se?:)

[Milan Vít]

A cpeš to jako komu?

[MMMMMMMMM]

Laco, přestaň tu otravovat diskusi výmysly a nadávkami. Když už chceš něco napsat, tak ať jsou to fakta a ne blbosti, co sis zrovna vycucal z prs(t)u. Fakta, milý Laco, fakta. Pravděpodobně víš o operačních systémech asi tolik, co jeptiška o tantrickém sexu Tato diskuse je otevřená všem, a Ty uděláš nejlépe, když přispěješ mlčením díky

[progdan]

Chapu ze podle pravidel nelze zverejnit chyby ve Windows, ale zajimalo by me, jestli se to tyka i Linuxu a jestli crackeri mohou poskytnout informace vyvojarum (cili je vlastne zverejnit ) aby byly prislusne chyby co nejdrive odstraneny...

[Spike]

Poskytnout vývojářům informace o těch chybách mohou i bez toho, aniž by je zveřejnili.

[Käyttäjä 11133]

Obzvláště v situaci, kdy je LKML veřejný, že?

[David Watzke]

Snad je zavedenej nějakej způsob jak hlásit závažný security bugy, ne?

[michich]

Ano, security@kernel.org.