Safari est resté debout à l'issue de la conférence CanSecWest de Vancouver qui a réuni des spécialistes en sécurité entre le 6 et le 8 mars. Mais pour une raison simple, aucun des participants n'a tenté de trouver un défaut dans sa cuirasse… Ce rendez-vous annuel est toujours l'occasion de mettre à l'épreuve les principaux navigateurs du marché, avec des récompenses sonnantes et trébuchantes pour les plus adroits des participants (en plus du portable ayant servi à la démonstration). Chrome, Internet Explorer et Firefox ont tous les trois révélé des failles de sécurité.
L'épreuve consistait à injecter du code sur la machine hôte après une visite sur une page web contaminée et de l'exécuter, même en présence d'une protection de type sandboxing. Le tout devant être obtenu sans interaction, ou très faible, de la part de l'utilisateur. La démonstration ne devait excéder 30 minutes et elle devait utiliser une faille inconnue de l'éditeur du navigateur.
La société française VUPEN Security s'est une nouvelle fois illustrée, elle est une habituée de ce concours. Elle a réussi à mettre en défaut IE 10 sur Windows 8 fonctionnant sur une tablette Surface Pro, Firefox sur Windows 7 et les plug-ins Java et Flash sur Windows 7. Ce qui lui a rapporté la bagatelle de 250 000$ (191 000€) et une publicité supplémentaire. Mozilla a déjà corrigé son navigateur et distribue aujourd'hui une version 19.0.2.
Chrome a été défait par une autre équipe. Le plug-in Java sur Windows l'a été en tout par quatre équipes ou participants et le plug-in Reader d'Adobe est tombé au moyen d'une faille trouvée par George Hotz, alias GeoHot.
Fait nouveau, personne n'a touché à Safari, qui avait été attaqué avec succès par le passé. Pas d'explications à cela. On peut y voir la preuve d'une solidité plus importante du couple Safari et Mountain Lion. Ou bien un désintérêt devant l'enjeu (ce n'était pas Safari Mobile mais sa version Mac) ou une raison purement financière. Les exploits réalisés sur Internet Explorer rapportaient de 75 000 à 100 000$, contre 65 000$ pour Safari. Toutefois Firefox était une marche en dessous avec 60 000$. Une victoire donc pour le navigateur d'Apple mais sans attaquants…
