CanSecWest

Safari est resté debout à l'issue de la conférence CanSecWest de Vancouver qui a réuni des spécialistes en sécurité entre le 6 et le 8 mars. Mais pour une raison simple, aucun des participants n'a tenté de trouver un défaut dans sa cuirasse…

Ce rendez-vous annuel est toujours l'occasion de mettre à l'épreuve les principaux navigateurs du marché, avec des récompenses sonnantes et trébuchantes pour les plus adroits des participants (en plus du portable ayant servi à la démonstration). Chrome, Internet Explorer et Firefox ont tous les trois révélé des failles de sécurité.

L'épreuve consistait à injecter du code sur la machine hôte après une visite sur une page web contaminée et de l'exécuter, même en présence d'une protection de type sandboxing. Le tout devant être obtenu sans interaction, ou très faible, de la part de l'utilisateur. La démonstration ne devait excéder 30 minutes et elle devait utiliser une faille inconnue de l'éditeur du navigateur.

La société française VUPEN Security s'est une nouvelle fois illustrée, elle est une habituée de ce concours. Elle a réussi à mettre en défaut IE 10 sur Windows 8 fonctionnant sur une tablette Surface Pro, Firefox sur Windows 7 et les plug-ins Java et Flash sur Windows 7. Ce qui lui a rapporté la bagatelle de 250 000$ (191 000€) et une publicité supplémentaire. Mozilla a déjà corrigé son navigateur et distribue aujourd'hui une version 19.0.2.

Chrome a été défait par une autre équipe. Le plug-in Java sur Windows l'a été en tout par quatre équipes ou participants et le plug-in Reader d'Adobe est tombé au moyen d'une faille trouvée par George Hotz, alias GeoHot.

Fait nouveau, personne n'a touché à Safari, qui avait été attaqué avec succès par le passé. Pas d'explications à cela. On peut y voir la preuve d'une solidité plus importante du couple Safari et Mountain Lion. Ou bien un désintérêt devant l'enjeu (ce n'était pas Safari Mobile mais sa version Mac) ou une raison purement financière. Les exploits réalisés sur Internet Explorer rapportaient de 75 000 à 100 000$, contre 65 000$ pour Safari. Toutefois Firefox était une marche en dessous avec 60 000$. Une victoire donc pour le navigateur d'Apple mais sans attaquants…

> Accéder aux commentaires

Comme chaque année, la conférence CanSecWest sera le théâtre du concours de sécurité Pwn2Own. Cette compétition oppose des hackers qui tentent de trouver des failles dans les navigateurs web et de les exploiter.

L'organisateur a dévoilé les différentes récompenses pour l'édition 2013. Le premier participant parvenant à compromettre la sécurité de Chrome sur Windows 7 empochera 100 000 $ (75 000 €), tout comme celui qui se sera attaqué avec succès à Internet Explorer 10 sur Windows 8. Concernant OS X, le prix est de 65 000 $ pour Safari sur Mountain Lion.

Il sera aussi possible de s'attaquer à des plug-ins. Les cibles sont Adobe Reader XI, Flash et Java sur Internet Explorer 9. Alors que la prime pour les deux plug-ins d'Adobe s'élève à 70 000 $, l'exploitation d'une faille dans Java n'est récompensée « que » par 20 000 $. De là à dire qu'il s'agit d'une cible plus facile...

Photo Jeff Keyzer CC BY SA

L'année dernière, l'équipe française Vupen Security s'était illustrée en mettant à mal Chrome (lire : CanSecWest : Chrome s'effondre deux fois).

> Accéder aux commentaires

La conférence CanSecWest est l'occasion du fameux concours primé Pwn2Own, qui a notamment couronné Charlie Miller depuis plusieurs années. Celui-ci ne participera pourtant pas à l'édition 2012, suite à un changement de règles qui le met selon lui hors concours.

Ce changement répond à un problème que Charlie Miller a pu lui-même trouver frustrant : l'ordre des tentatives était jusqu'ici tiré au sort, et pouvait donc laisser pour compte de jolies prouesses, puisque le premier à faire tomber une machine était considéré gagnant.

Pour y remédier le concours Pwn2Own se fait désormais sans filet : les participants doivent venir les mains vides et coder sur place leurs hacks, alors qu'ils pouvaient auparavant amener leurs développement réalisés au préalable. Ainsi, le premier à hacker une machine dans cette course au développement gagne. Charlie Miller considère que cela favorise des équipes de développeurs plutôt que ceux qui participent seuls.

Précisément, c'est l'équipe française Vupen Security qui a remporté la mise, et de belle façon : elle a mis à mal l'image d'invulnérabilité de Chrome, seul navigateur à avoir résisté aux attaques l'an dernier. Il a suffi de pointer Chrome sur une page contenant du code malveillant pour que l'ordinateur lance spontanément la calculette de Windows. L'équipe a utilisé deux failles "zero-day" (des failles qu'elle est la première à avoir identifiées et exploitées). Vupen Security compte conserver la primeur de celle qui lui a permis de contourner le bac à sable de Chrome : la société commercialise ses trouvailles à des clients gouvernementaux, ce qui soulève quelque controverse dans la communauté des experts en sécurité.

Mais Chrome s'est également soumis aux imprécations du russe Sergey Glazunov lors d'un autre concours du CanSecWest, cette fois organisé par Google elle-même : Pwnium. Google a en effet décidé de se retirer du concours Pwn2Own, qui n'exige plus la révélation des failles exploitées par les hackers comme Vupen. Pwnium se consacre exclusivement à Chrome, chaque faille utilisée est récompensée, et le vainqueur a gagné les 60 000 $ mis en jeux. Là aussi il a tiré parti de deux failles zero-day, et Google a admis sa défaite avec tout le fair-play de circonstance. Justin Schuh, responsable de la sécurité de Chrome, a admiré la prouesse comme il se doit : « L'exploit était impressionnant. Il exigeait une profonde compréhension de la manière dont Chrome fonctionne. Ça n'est pas une mince affaire à réaliser. C'est très difficile et c'est pourquoi nous le récompensons avec 60 000 $ ».

Naturellement Google se fait fort de fournir une correction des failles concernées au plus vite, du moins pour celles qui lui auront été dévoilées.

> Accéder aux commentaires

La réputation ne fait pas tout. Et, comme à l’accoutumée, Mac OS X n’a pas manqué de faillir lors de la dernière édition du concours Pwn2Own, lors de CanSecWest. Cette fois-ci, ce sont les Français de Vupen Security qui ont réussi à trouver et exploiter une faille de WebKit, le moteur de rendu HTML de Safari - notamment.

Il faut dire que Vupen s’est fait une spécialité de ce qu’il convient d’appeler «l’intrusion amicale» ou, autrement dit, le test de pénétration. Parmi les clients de Vupen Security, on compte notamment Microsoft, Shell, Sagem ou encore l’IGN. Leur métier, c’est la mise à l’épreuve des stratégies de sécurité appliquées aux systèmes d’information. Des équipes suffisamment efficaces pour que, lors de l’édition 2009 des Assises de la Sécurité, l’atelier de Vupen ait fait salle comble et ait attiré l’intérêt de représentants de la grande distribution, des télécommunications ou encore de l’Armée.

Pour iOS, c’est encore Safari qui a servi de porte d’entrée. Et c’est un habitué qui s’est attelé à la tâche : Charlie Miller. Analyste Sécurité chez Independent Security Evaluators, Charlie Miller a été quatre fois distingué lors de Pwn2Own. Sur Twitter, il se décrit comme le «monsieur 0-day d’Apple», autrement dit celui qui déroule des failles inconnues jusque-là dans les logiciels de la firme à la pomme. L’une des spécialités de Miller, c’est le Fuzzing. Une approche de la recherche de vulnérabilités développée notamment par Ari Takanen, directeur technique du finlandais Codenomicon. Avec Jared DeMott et Charlie Miller, il a co-signé un ouvrage dédié au sujet, «Fuzzing, for software security testing and quality assurance», publié en 2008 par Artech House. À la fin de cet ouvrage, un cas pratique est d’ailleurs consacré à la recherche de vulnérabilités dans Quicktime Player.

Le concept de base du Fuzzing est relativement simple : il s’agit de chercher les interfaces des applications accessibles de l’extérieur et de les saturer de données corrompues - au sens où elles ne sont pas cohérentes avec ce que l’application est censée traiter - avant de voir ce qui se passe... D’une certaine façon, on peut voir là un parallèle avec la compromission de sites Web par injections SQL : dans les deux cas, le logiciel n’est pas suffisamment protégé contre les tentatives d’injection de données ne correspondant pas à ce qu’il doit attendre d’un utilisateur légitime...

L’an passé, Charlie Miller soulignait notamment qu’OS X «présente une vaste surfac...

> Lire la suite et accéder aux commentaires