Jusqu'ici, aucun navigateur ne résiste aux attaques des experts en sécurité du Pwn2Own 2010

Version imprimable

26/03/2010, 12h12
Gordon Fowler

Jusqu'ici, aucun navigateur ne résiste aux attaques des experts en sécurité du Pwn2Own 2010

Aucun navigateur ne résiste aux attaques des experts en sécurité
Lors de la première journée du Pwn2Own 2010, le tour de Chrome arrive

La nouvelle n'en est pas vraiment une.

Mais elle a au moins le mérite de rappeler une évidence : aucun navigateur n'est sûr à 100 %.

Safari, Internet Explorer (version 8) et Firefox n'ont pas résisté aux attaques des experts en sécurité lors du Pwn2Own qui se déroule actuellement.

Le Pwn2Own est concours de hacking où les navigateurs sont mis à rude épreuve. Le but est de mettre à jour leurs failles et leurs vulnérabilités. Le but n'est évidemment pas de créer de l'insécurité. Au contraire, il s'agit d'attirer l'attention des éditeurs sur les faiblesses de leurs applications pour qu'ils puissent les corriger. Les exploits ne sont d'ailleurs pas rendus publiques.

A noter qu'Opera, le navigateur norvégien, n'est pas présent à cette manifestation.

Internet Explorer 8 – sur Windows 7, 64 bits, entièrement mis à jour - n'aura tenu que deux minutes. Quant à Firefox (version 3 - et non la 3.6.2 récemment sortie), il n'aura pas duré beaucoup plus longtemps. Les deux exploits réalisés sur ces navigateurs ont permis de contourner les protections intégrées de Windows 7.

En revanche Google Chrome, avec son bac à sable intégré, devrait, d'après les prévisions, tenir un peu plus longtemps la dragée haute aux participants.

A suivre donc.

Source : Le fil Twitter officiel du compte rendu du Pwn2Own 2010

Lire aussi :

:fleche: « Windows 7 et Internet Explorer 8 est la combinaison la plus sécurisée mais sans Flash », déclare un expert en sécurité renommé

Les rubriques (actu, forums, tutos) de Développez :

:fleche: Sécurité
:fleche: Windows
:fleche: Système
:fleche: Développement Web
26/03/2010, 13h19
rushtakn

Il me semble que chrome a resisté tout simplement parce qu'il n'a pas ete attaqué.
26/03/2010, 13h44
gmotw

Citation:

Quant à Firefox (version 3 - et non la 3.6.2 récemment sortie), il n'aura pas duré beaucoup plus longtemps.

Ça signifie que la faille qu'ils ont exploité est celle qui avait été corrigée récemment ou ils ont utilisé d'autres méthodes?
26/03/2010, 13h49
dams78

L'environnement entre-t-il aussi en compte?
26/03/2010, 13h50
Gordon Fowler

Citation:

Envoyé par gmotw

ça signifie que la faille qu'ils ont exploité est celle qui avait été corrigée récemment ou ils ont utilisé d'autres méthodes?

A priori, vu que l'objectif est de trouver de nouvelles failles, je pense qu'il s'agit d'une autre méthode. Mais comme les exploits restent confidentiels j'ai pas plus d'info là-dessus.

Citation:

Envoyé par rushtakn

Il me semble que chrome a resisté tout simplement parce qu'il n'a pas été attaqué.

C'est vrai en plus !!! Mille excuses, j'ai modifié la news.
On dira que c'est la faute à la fin de semaine, hein ? D'accord ? :pastaper:
26/03/2010, 13h54
Gordon Fowler

Pour gmotw (bis) :

Citation:

Nils from MWR InfoSecurity succeeded against Firefox on Windows 7 with the quintessential calc.exe launching payload.
26/03/2010, 13h59
gmotw

Citation:

Envoyé par Gordon Fowler

A priori, vu que l'objectif est de trouver de nouvelles failles, je pense qu'il s'agit d'une autre méthode. Mais comme les exploits restent confidentiels j'ai pas plus d'info la dessus.

Ok, c'était juste pour savoir.

Citation:

Té, c'est vrai en plus !!! Mille excuses, j'ai modifié la news.
On dira que c'est la faute à la fin de semaine, hein ? D'accord ? :pastaper:

Ben non, tant que personne n'a craqué Chrome, il résiste, même si c'est parce qu'ils ont rien fait dessus. (Comme on dit: pas d'utilisation, pas d'emmerdes :aie: )
26/03/2010, 14h08
_LVEB_

Citation:

Envoyé par rushtakn

Il me semble que chrome a resisté tout simplement parce qu'il n'a pas ete attaqué.

Il me semble qu'il n'a pas été attaqué parce que personne n'avait d'exploit.
26/03/2010, 14h19
brulain

La partie émergée de l'iceberg

S'il n'y avait que les navigateurs pour présenter des failles!
Heureusement que quelques spéléologues passionnés et vertueux livrent gracieusement leurs découvertes aux éditeurs concernés qui n'en demandaient pas tant ; mais ça ne va peut-être pas durer, du moins la gratuité.
26/03/2010, 14h34
dams78

Citation:

Envoyé par brulain

S'il n'y avait que les navigateurs pour présenter des failles!
Heureusement que quelques spéléologues passionnés et vertueux livrent gracieusement leurs découvertes aux éditeurs concernés qui n'en demandaient pas tant ; mais ça ne va peut-être pas durer, du moins la gratuité.

C'est pas Mozilla qui rénumère les auteurs de bugs (enfin ceux qui les trouvent).
Et je crois que Google a décidé de faire pareil en proposant 200$.
26/03/2010, 15h19
_LVEB_

Citation:

Envoyé par dams78

C'est pas Mozilla qui rénumère les auteurs de bugs (enfin ceux qui les trouvent).
Et je crois que Google a décidé de faire pareil en proposant 200$.

Je crois que ca va jusqu'à 1337$
26/03/2010, 15h28
Bryce de Mouriès

Finalement je trouve ça plutôt lassant ces histoires de compétition de sécurité, on le sait très bien qu'aucun navigateur n'est parfait en sécurité. Cela fait des années que l'on essaye de toujours sécuriser d'avantage sans jamais atteindre la perfection, car on le sait très bien les hackeurs auront toujours un temps d'avance. Ça pourrait faire l'objet d'un débat "Arrivera-t-on un jour à réaliser une sécurité parfaite ?", pour changer ce qui serait intéressant c'est de savoir que tel navigateur est infaillible ! (du moins jusqu'à la prochaine mise à jour).
En attendant il ne faut pas rompre ce mouvement perpétuel de hack/correction/hack ...
26/03/2010, 15h37
Loceka

Citation:

Envoyé par _LVEB_

Je crois que ca va jusqu'à 1337$

w00t !
26/03/2010, 16h05
dams78

Citation:

Envoyé par Bryce de Mouriès

Finalement je trouve ça plutôt lassant ces histoires de compétition de sécurité, on le sait très bien qu'aucun navigateur n'est parfait en sécurité. Cela fait des années que l'on essaye de toujours sécuriser d'avantage sans jamais atteindre la perfection, car on le sait très bien les hackeurs auront toujours un temps d'avance. Ça pourrait faire l'objet d'un débat "Arrivera-t-on un jour à réaliser une sécurité parfaite ?", pour changer ce qui serait intéressant c'est de savoir que tel navigateur est infaillible ! (du moins jusqu'à la prochaine mise à jour).
En attendant il ne faut pas rompre ce mouvement perpétuel de hack/correction/hack ...

Bah non justement, le propre de la sécurité c'est justement d'avoir un temps d'avance sur l'attaquant. C'est exactement ce qu'il se passe en cryptographie avec les calculs à trappes : on sait faire le calcul (enfin le deviner) pour casser la clé de cryptage mais techniquement avec la force de calcul qu'on possède cela prendrait des siècles.
26/03/2010, 16h40
Gordon Fowler

Citation:

Envoyé par brulain

Heureusement que quelques spéléologues passionnés et vertueux livrent gracieusement leurs découvertes aux éditeurs concernés

Bah c'est de moins en moins vrai en fait.

Charlie Miller, qui a gagné plusieurs fois le concours, n'indique pas les failles aux éditeurs. Ils leur dit juste "en gros" comment il les a trouvées et après à eux de se débrouiller.

Il fait ça justement parce qu'il en a marre de voir que les progrès qu'ils font dans la sécurisation des applications sont très très lents.
26/03/2010, 17h18
gmotw

Citation:

Envoyé par Gordon Fowler

Il fait ça justement parce qu'il en a marre de voir que les progrès qu'ils font dans la sécurisation des applis sont très très lents.

C'est sûr que ça va aller vachement plus vite si les éditeurs savent qu'il y a une faille mais doivent la rechercher. :mouarf:
26/03/2010, 18h01
Invité

Citation:

Envoyé par gmotw

C'est sûr que ça va aller vachement plus vite si les éditeurs savent qu'il y a une faille mais doivent la rechercher. :mouarf:

En fait Charlie Miller a déjà écrit un livre pour Mac Leopard et comment le sécuriser, puis il s'est plaint que Snow leopard n'ait pas les améliorations nécessaires ... A force de "parler dans le vide" sans être écouter, malgré les infos qu'il donne et qui permettent de comprendre comment il a craqué plein de logiciels, je comprends qu'il ne veuille pas aider davantage.
Au fond les méthodes pour hacker qu'il utilise peuvent être "industrialisées" pour tester les logiciels par les éditeurs :ccool:.
26/03/2010, 21h16
nicolofontana12

Chrome a été bel et bien attaqué mais il a resisté donc le titre de l'article ne correspond pas à la realité.
27/03/2010, 06h19
nicolofontana12

Citation:

Envoyé par dams78

Bah non justement, le propre de la sécurité c'est justement d'avoir un temps d'avance sur l'attaquant. C'est exactement ce qu'il se passe en cryptographie avec les calculs à trappes : on sait faire le calcul (enfin le deviner) pour casser la clé de cryptage mais techniquement avec la force de calcul qu'on possède cela prendrait des siècles.

Tout a fait d'accord ; en cryptographie le problème c'est pas de savoir l'algorithme mais le temps nécessaire qu'il te faudra pour décrypter avec le matériel qu'il faut [ Exemple : un ordinateur de quelle centaines de Giga de processeurs) sinon tout le monde sait que le nombre de caractères est bien finie ( limité) même si on tient compte de toutes les langues!
03/04/2010, 09h56
GoustiFruit

Mouais, Opera n'est pas représenté soit disant à cause des parts de marché... sauf que sur les mobiles il est très bien placé. J'ai l'impression que ces petits hackers n'ont pas eu le cran tout simplement :toutcasse: