移動(dòng)Pwn2Own黑客大賽2016重裝上陣,這次為安全研究人員奉上的,是25萬(wàn)美元的iPhone解鎖獎(jiǎng)勵(lì)和25萬(wàn)美元的安卓手機(jī)破解獎(jiǎng)金。
今年年初,惠普企業(yè)(HPE)將零日計(jì)劃(ZDI)轉(zhuǎn)手賣(mài)給了趨勢(shì)科技,隨著贊助商的轉(zhuǎn)換,Pwn2Own大賽也經(jīng)歷了一些改組。Pwn2Own大賽瀏覽器版已于今年3月由惠普和趨勢(shì)科技聯(lián)手舉辦。將于10月舉行的2016 移動(dòng)Pwn2Own黑客大賽,則是首屆沒(méi)有HPE贊助的Pwn2Own。
趨勢(shì)科技漏洞研究高級(jí)經(jīng)理布萊恩·戈倫茨說(shuō):“對(duì)我們而言,這依然是Pwn2Own。我們總是希望每次大賽都給我們帶來(lái)前所未見(jiàn)的新東西,但如果你已經(jīng)見(jiàn)識(shí)過(guò),其實(shí)大賽的本質(zhì)總是相似的。”
溫哥華 CanSecWest 大會(huì)舉行的2016 Pwn2Own 瀏覽器大賽上,ZDI向公開(kāi)演示W(wǎng)eb瀏覽器新零日漏洞利用的研究人員派發(fā)了總計(jì)46萬(wàn)美元的獎(jiǎng)金。
本次移動(dòng)Pwn2Own將于10月26-27日在東京的PacSec安全大會(huì)上舉行,獎(jiǎng)金池總額高達(dá)50萬(wàn)美元。2016移動(dòng)大賽,ZDI希望研究人員針對(duì)3種特定的移動(dòng)設(shè)備:蘋(píng)果 iPhone 6x,谷歌 Nexus 6p和三星 Galaxy Note7.
針對(duì)所有目標(biāo)設(shè)備,ZDI給研究人員設(shè)置了幾項(xiàng)挑戰(zhàn)。第一項(xiàng)就是從設(shè)備獲取敏感信息。誰(shuí)能突破iPhone或谷歌Nexus,獲取到這兩種手機(jī)上的敏感信息,就能得到5萬(wàn)美元的獎(jiǎng)勵(lì)。能從三星Galaxy上獲取敏感信息的研究人員將有3.5萬(wàn)美元的入賬。
另一項(xiàng)挑戰(zhàn)就是在目標(biāo)設(shè)備上安裝流氓應(yīng)用。iPhone上安裝可得12.5萬(wàn)美元獎(jiǎng)勵(lì),谷歌Nexus上可得10萬(wàn),三星Galaxy上可得6萬(wàn)。
大賽期間,每臺(tái)手機(jī)的操作系統(tǒng)都會(huì)是最新的,會(huì)打上全部現(xiàn)有補(bǔ)丁。這或許會(huì)讓ZDI的研究人員在大賽前加班更新手機(jī),但讓目標(biāo)設(shè)備保持最新?tīng)顟B(tài)才有意義。
所有目標(biāo)設(shè)備都會(huì)啟用默認(rèn)設(shè)置。對(duì)于iOS,這意味著Pwn2Own參賽者必須攻克Safari,因?yàn)镾afari就是iOS的默認(rèn)瀏覽器,也是該設(shè)備用戶(hù)最常見(jiàn)最真實(shí)的使用場(chǎng)景。過(guò)去,Pwn2Own參賽者演示過(guò)許多WebKit瀏覽器渲染引擎相關(guān)的漏洞。WebKit就是Safari背后的核心渲染引擎,且有許多組件至今仍在谷歌Chrome里使用。
每次大賽的威脅態(tài)勢(shì)都不一樣,很難預(yù)測(cè)那個(gè)組件會(huì)被當(dāng)做目標(biāo)。WebKit很可能有露臉,但期待看到一些新的技術(shù)和研究。
對(duì)于流氓應(yīng)用安裝,ZDI沒(méi)有特別的要求,留給參賽者在公開(kāi)演示階段充分展現(xiàn)創(chuàng)造力的空間。
解鎖iPhone
本次Pwn2Own競(jìng)賽上最大的單項(xiàng)獎(jiǎng)勵(lì),會(huì)授予成功解鎖iPhone的研究人員。最近幾個(gè)月,解鎖iPhone一直是個(gè)熱點(diǎn)話題。據(jù)稱(chēng)FBI花了130萬(wàn)美元才繞過(guò)IPhone鎖屏。蘋(píng)果公司自己的漏洞獎(jiǎng)勵(lì)項(xiàng)目設(shè)置了20萬(wàn)的獎(jiǎng)金,安全公司 Exodus Intelligence 則會(huì)為iOS零日漏洞付出50萬(wàn)美元的獎(jiǎng)金。
ZDI認(rèn)為,為iPhone解鎖漏洞拿出25萬(wàn)美元的獎(jiǎng)勵(lì)是比較合適的。達(dá)成iPhone解鎖必然要付出大量的研究,這個(gè)數(shù)額的獎(jiǎng)金不算太差。除了這筆錢(qián),研究人員還會(huì)獲得贏下Pwn2Own的業(yè)界認(rèn)可。
市場(chǎng)才是最終決定25萬(wàn)美元的獎(jiǎng)金是否公平的裁判。有人嘗試公開(kāi)解鎖iPhone的前景還是很光明的。通過(guò)ZDI報(bào)告漏洞至少能讓漏洞切實(shí)得到廠家的修復(fù),比其他的選擇要好。