איש אינו בטוח: אקספלורר 8, ספארי ומכשירי iPhone ובלקברי נפרצו כולם בתחרות Pwn2Own

מומחי אבטחה שהתחרו על פרסים בסכום של 15 אלף דולרים הצליחו לפרוץ את דפדפן אינטרנט אקספלורר 8 (Internet Explorer 8) במערכת חלונות 7 (Windows 7), דפדפן ספארי (Safari) במערכת Mac OS X, מכשיר iPhone 4 ומכשיר BlackBerry Torch 9800 – הכול במסגרת תחרות ההאקרים השנתית Pwn2Own. התחרות נערכה במקביל לוועידת האבטחה CanSecWest.

מארגני התחרות הסבירו, כי מסיבות שונות, לא נערכו ניסיונות לפרוץ את הדפדפנים כרום (Chrome) ופיירפוקס (Firefox), או את מערכות אנדרואיד (Android) וחלונות פון 7 (Windows Phone 7). אחת הקבוצות שהתכוונה לפרוץ את חלונות 7 לא הצליחה להגיע לתחרות בשל בעיות בסידורי הנסיעה – הסביר אהרון פורטנוי, מנהל מחקרי אבטחה במעבדות HP DV Labs ומנהל תוכנית Zero Day Initiative, שמעניקה חסות לתחרות Pwn2Own.

חלונות 7 הייתה היעד גם של ג'ורג' הוץ, האקר המכונה Geohot, שלא הגיע בסופו של דבר לתחרות, משום שנאלץ להקדיש את מלוא תשומת הלב שלו להגנה משפטית, על פי פורטנוי. זאת, לאחר שסוני (Sony) הגישה תביעה נגד הוץ בטענה שהפר את זכויות היוצרים שלה בכך שהפיץ כלים לפריצה של קונסולת המשחקים Playstation 3. הכלים של הוץ מאפשרים להפעיל בקונסולה יישומים פיראטיים.

מועמד נוסף שאמור היה לנסות ולפרוץ את דפדפן ספארי, מערכת אנדרואיד ומכשיר iPhone פרש מהתחרות לבקשת החברה שמעסיקה אותו. פורטנוי סירב לנקוב בשם של המועמד או החברה, או להסביר מדוע ביקשה החברה שהעובד לא ישתתף בתחרות. ג'ון אוברהייד, מומחה אבטחה מחברת Duo Security, נפסל משום שדיווח כבר לגוגל (Google) על הבאג שהתכוון לנצל במסגרת התחרות – דבר שהוא גילה, מאוחר מדי, כי אסור לעשות על פי כללי התחרות.

אנשי הקבוצה שפרצה את מכשיר בלקברי התכוונו לפרוץ גם את דפדפן כרום, אך הזמן לא הספיק להם לכך, הוסיף פורטנוי. ביום ד' פרץ במסגרת התחרות צ'אוקי בקרר מחברת האבטחה הצרפתית Vupen את דפדפן ספארי, תוך ניצול פרצה מסוג Drive-by download. סטיבן פויר, מומחה אבטחה מאירלנד שעובד בחברת Harmony Security, ניצל מספר באגים כדי להכניע את אמצעי ההגנה על הזיכרון באינטרנט אקספלורר 8, וכן את המנגנונים DEP ו-ASLR במחשב נייד עם חלונות 7.

לדברי פורטנוי, הפריצה של אקספלורר 8 על ידי פויר הייתה המרשימה ביותר בתחרות. "הוא השתמש במקביל בשלוש פרצות שונות כדי לפרוץ לדפדפן אינטרנט אקספלורר ולפצח את המצב המוגן של הדפדפן – המקביל לארגז החול של מיקרוסופט (Microsoft)", אמר.