Do dostawców głównych przeglądarek właśnie dotarły informacje, że chińscy hakerzy zdołali przebić się przez luki w ich produktach. Wszystkie włamania odbyły się… oficjalnie. Miało to miejsce podczas rozgrywanego w Chengu w Chinach, pucharu Tianfu.
Już podczas pierwszego dnia tego nietypowego wydarzenia, chińskim hakerom udało się przebić do najlepszych przeglądarek dostępnych na rynku. Bez problemu złamali zabezpieczenia Safari, Edge i Google Chrome.
I’m not at all surprised to see 360Vulcan has an exploit in every category. They are a large team with a lot of skilled people. Also, they always dominate by quantity in pwn contests, they go after everything. (The router bugs don’t pay out enough, I guess, to attract 360) https://t.co/bvn41vIK16
— thaddeus e. grugq thegrugq@infosec.exchange (@thegrugq) November 16, 2019
Rozgrywający się w Chinach puchar budzi spore kontrowersje. Hakerzy nie tylko mogą tam demonstrować swoje umiejętności, ale mogą także wygrywać niezłe, nierzadko sześciocyfrowe kwoty. Przykładem jest zespół 360 Vulcan, który zgarnął ponad 380 000 dolarów za złamanie jednej z wersji Office 365 i innych drobniejszych aplikacji.
This is literally just, like, a hundred Chinese security researchers testing their 0days in competition against modern software targets. It is probably the densest collection of 0days per sqm in the world, and I’ve seen only one organic tweet about it.
Infosec Twitter, wtf?!? https://t.co/781cepNPy6
— thaddeus e. grugq thegrugq@infosec.exchange (@thegrugq) November 15, 2019
Wielu producentów oprogramowania wysyła na tego typu „konkursy” swoich przedstawicieli, aby ci szybko poznawali luki w swoich zabezpieczeniach. Często takie dziury są naprawiane w ciągu zaledwie kilku godzin od wykrycia. Podczas pucharu w Chinach takich producentów nie było za wielu, a mogą żałować, bo ujawniono kilka głośnych i poważnych luk. Google na szczęście wysłało swojego przedstawiciela, co wyszło im na plus. Organizatorzy pucharu przygotowują właśnie swego rodzaju przewodnik po odkrytych lukach w zabezpieczeniach, jakie ujawniono podczas całego wydarzenia.
Teraz zastanawiam się, w jaki sposób podchodzić do takich eventów. Z jednej strony łatwo jest krytykować, ale z drugiej jednak strony – teraz okazują się one przydatne. Każde odkrycie pomaga producentom naprawić zabezpieczenia, a że przy okazji grupy hakerskie otrzymają jakieś nagrody? I tutaj dochodzimy do kwestii etycznych. Do rozważenia dla każdego z osobna.