Slo-Tech - Drugi dan tekmovanja v vdiranju v prenosne telefone Mobile Pwn2Own, ki je potekalo v japonskem Tokiu, sta bila na tnalu telefona z Windows Phone in Androidom. Izkušena tekmovalca sta bila to pot manj uspešna, kot je bila konkurenca prvi dan. Tedaj so padli vsi telefoni, sedaj pa je bil vdor le delen.
Nico Joly, ki ga poznamo kot člana varnostne skupine VUPEN iz Francije, katera vsako leto tekmuje na tekmovanjih Pwn2Own, se je lotil Nokiine Lumie 1520, ki jo poganja Windows Phone. Vsi uspešni napadalci so poleg naprave, ki so jo uspeli nadvladati, domov odnesli še od 50.000-75.000 dolarjev; najvišjih nagrad za vdor prek sporočil ali omrežja ni osvojil nihče, skupno sklad pa je znašal 425.000 dolarjev.
V napadu prek brskalnika je uspel zlomiti podatkovno bazo piškotkov, a ni mogel zapustiti peskovnika, tako da nadzora nad celotnim telefonom ni prevzel.
Estonec Jüri Aedla, ki je uspešno tekmoval tudi na Pwn2Ownu v Vancouvru spomladi letos, je napadel Nexus 5 nameščenim Androidom. V napadu prek brezžične povezave Wi-Fi je bil le delno uspešen, saj mu ni uspela eskalacija privilegijev za popoln nadzor nad telefonom.
Skupni izplen obeh dni je torej uspešen napad iPhone 5S, dva napada na Galaxy S5, dva različno uspešna napada na Nexus 5, uspeh na Amazonovem Fire Phonu ter omenjeni delni uspeh na Lumii. Naslednji Pwn2Own bo spomladi v Vancouvru, kjer se bodo lotili drugih naprav.
I was at the Mobile Pwn2Own last year and specifically spoke to various challengers about WP (nobody at all tried it last year).
Contrary to general snark on various forums, Microsoft is widely recognized throughout the security industry as having the most comprehensive Secure Development Lifecycle in the world (of all commercial, government, OSS organizations.). It may be some orgs do as much or more, but none of them are as transparent about it (Google, Amazon, and Apple certainly aren't as open about their own SDLs). All MS software is completely Threat Modelled, has static and dynamic tools run against it, and all unmanaged parsers (including NFC/Bluetooth/Wifi protocol parsers) are fairly extensively fuzzed. None of this insures perfect software (it doesn't look like they are good at catching use after free vulns in IE for example, but if you look at the security updates for Chrome and Firefox, neither of them are any good at catching those vulns either), but looking at MS security bulletins its pretty obvious that they have a much lower vuln rate in newer code vs older code (The big bulletins this month in schannel and OLE were both in code well over 15 years old).
Because of that, every single researcher I talked to basically said the same thing. If they spend a week of effort against Android they KNOW they will find something, but if they do it against WP they don't have any such surety. That basically informs where they will direct their time, because they only get paid if they succeed. So in some ways the fact that WP didn't fall was because there really was a lot less effort trying, but almost in the same vein they can thank their security efforts for that.
Still, the general design of the chambers in WP make them a whole heck of a lot less porous than Androids sandbox. You can do way more with Android apps (replace the keyboard for example, which is a pretty invasive operation), which means the sandbox simply has way more exit points that need to be protected than the more restrictive WP Chambers. Its basic security truth that it is easier to protect things with smaller attack surfaces, and Android by virtue of being more permissive has a larger attack surface for someone to look for vulnerabilities on.
Kljub temu da imam WP se mi ni zdelo, da bi bil kaj manj hackable kot android... no evo nice, lepo presenečenje, očitno ima malimehki dobro idejo kako zaščititi sandbox.
Mene je tudi rezultat presenetil. Prijetno presenetil No, pa saj že pri aplikacijah ne moreš kaj preveč po svoje delati, kaj šele da bi lahko "pobegnil" kam po svoje v sistem. (si sploh ne predstavljam, da lahko menjaš tipkovnico ... najbrž ni težava zadaj skriti še keyloger?)
Malajlo> si sploh ne predstavljam, da lahko menjaš tipkovnico ... najbrž ni težava zadaj skriti še keyloger?
Ni.
Ampak... Kako pa veš, da tipkovnica od izvornega ponudnika sistema ne beleži vsega, kar poskušaš natipkat?
Filo> Kljub temu da imam WP se mi ni zdelo, da bi bil kaj manj hackable kot android... no evo nice, lepo presenečenje, očitno ima malimehki dobro idejo kako zaščititi sandbox.
To je glavni razlog, da smo hoteli Linux na telefonu. Da je bolj hackable.
Niti ne. Morda je ironično tistim ki podjetja ne spremljajobredno že 10+ let.
Potem, ko je MS postal sinonim za Ementaler programske opreme, so se interno zasukali za 180°. Sicer je flikanje preteklosti trajalo in še traja, ker (namizne) zgodovine ne moreš kar odpraviti, ampak to več ni MS iz 90. let. Glede na to, da WP nima tako kompleksne zgodovine in glede na to, da v "novem svetu" mobilnih naprav podpora združljivosti nazaj ne rangira visoko, to ni /tako zelo/ presenetljivo.
Niti ne. Morda je ironično tistim ki podjetja ne spremljajobredno že 10+ let.
Potem, ko je MS postal sinonim za Ementaler programske opreme, so se interno zasukali za 180°. Sicer je flikanje preteklosti trajalo in še traja, ker (namizne) zgodovine ne moreš kar odpraviti, ampak to več ni MS iz 90. let. Glede na to, da WP nima tako kompleksne zgodovine in glede na to, da v "novem svetu" mobilnih naprav podpora združljivosti nazaj ne rangira visoko, to ni /tako zelo/ presenetljivo.
Je pa lep dokaz, da je možno vse, če je le volja.
A res misliš da so ble ostale platforme tedaj kaj bolj varne.
No, bomo videli kako bo šlo naprej. Nadela je namreč pred kratkim TwC ekipo reorganiziral in njeno jedro razdelil med oddelka za oblačno rač. in pravne zadeve. Tako več ne bo "globalna", je pa res, da vsi zagotavljajo, da to ne bo spremenilo ničesar.
Prihodnjih 10 let bo pokazalo, kako se bo to obneslo.
