Участники Pwn2Own взломали Internet Explorer, Mozilla Firefox, Apple Safari и iPhone

Участники Pwn2Own взломали Internet Explorer, Mozilla Firefox, Apple Safari и iPhone

...

На проходящем в Ванкувере (Канада) ежегодном хакерском соревновании Pwn2Own 2010 специалисты по вопросам безопасности провели показательные атаки, направленные на веб-браузеры.

Итальянец Винченцо Иоццо, работающий в компании Zynamics, и Ральф-Филипп Вейнманн, научный сотрудник из Лаборатории алгоритмов, криптологии и безопасности Люксембургского университета, как и ожидалось, буквально за пять минут взломали мобильный Safari, получив доступ к iPhone 3GS и запустив на нем программу, которая отправила на веб-сервер копию базы данных СМС, в том числе удаленных пользователем.

Хакеры воспользовались так называемым возвратно ориентированным программированием (причем впервые публично для ARM-процессора), когда кодовые инструкции, локализованные в различных частях оперативной памяти, как бы сшиваются воедино. Однако сразу после взлома iPhone встроенная в смартфон "песочница" серьезно ограничила их действия, но они все-таки могли выполнять любые операции якобы от лица обычного пользователя. Взломщики получили $15 тыс. и сам телефон.

Стоит отметить, что это первая полнофункциональная атака на iPhone с апреля 2008 года, когда Apple выпустила iPhone OS 2.0. На прошлогоднем соревновании iPhone взломать не удалось.

Чарли Миллер, аналитик из Independent Security Evaluators, за пару минут провел успешную атаку на Safari 4 п/у Mac OS X Snow Leopard на MacBook Pro. Приз — ноутбук и $10 тыс. Напомним, что Миллер уже в третий раз показывает исключительные результаты по взлому Safari.

Internet Explorer 8 на платформе Windows 7 взломан Питером Врёгденхилом, независимым исследователем вопросов безопасности из Нидерландов. Его атака названа "технически впечатляющей", поскольку удалось обойти Data Execution Prevention (DEP) и Address Space Layout Randomization (ASLR), встроенные в ОС механизмы, препятствующие большинству проникновений.

Еще один победитель — немецкий студент Nils из Лейпцига сумел взломать Firefox на Windows 7. В прошлом году на Pwn2Own Nils показал работающие эксплойты для Internet Explorer, Firefox и Safari.

Оба участника получили по ноутбуку и $10 тыс.

Из всех браузеров лишь Google Chrome 4 удалось противостоять атакам.

источник

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Магните запустили пилот подтверждения возраста через MAX

Торговая сеть «Магнит» приступила к тестированию подтверждения личности покупателей через MAX. Новая технология доступна пользователям мессенджера при оплате товаров с возрастными ограничениями через кассы самообслуживания (КСО).

Пилотный проект пока запущен в десяти магазинах в трех городах: в Москве, Краснодаре и Санкт-Петербурге. В ближайшее время ретейлер обещает расширить охват до 300 торговых точек, а также географию нововведения.

Пилот рассчитан на три месяца, в течение которых будет собираться обратная связь. По результатам будет принято решение о целесообразности дальнейшего масштабирования проекта.

Чтобы воспользоваться новой возможностью, пользователь мобильного MAX должен создать цифровой ID, привязав аккаунт к Госуслугам. При покупке товаров с возрастными ограничениями достаточно будет отсканировать на кассе QR-код, выведенный мессенджером.

Для запуска новой опции команде «Магнита» пришлось подкрутить софт КСО и поработать над его интеграцией с инфраструктурой MAX.

«Рассчитываем, что использование цифрового ID может значительно упростить процесс покупок товаров, которые имеют возрастные ограничения, — заявил Вячеслав Кубаев, главный директор по цифровым технологиям группы компаний «Магнит». — Кроме того, решение, которое мы тестируем, позволит в перспективе снизить нагрузку на персонал магазинов. В дальнейшем цифровой ID может быть использован и в других областях – например, чтобы идентифицировать клиентов, зарегистрированных в программе лояльности, и предлагать им персональный набор акций и услуг».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru