6041 Letture

Pwn2Own 2010: "magna cum laude" per Google Chrome

Per il secondo anno consecutivo, Google Chrome è rimasto indenne agli attacchi sferrati nel corso della manifestazione "Pwn2Own", organizzata da TippingPoint. Nel corso dell'evento, hacker di tutto il mondo hanno misurato le proprie abilità tentando di scardinare tutti i principali browser web disponibili sul mercato. Un'attività allettante considerando anche il "montepremi" posto in palio, elevato alla somma complessiva di 100.000 dollari.

Chrome ha saputo resistere agli "urti" ricevuti soprattutto in forza della tecnologia di "sandboxing" utilizzata. L'idea alla base di questo approccio mira a rendere molto più complicata, per eventuali aggressori, l'esecuzione di codice nocivo sul sistema dell'utente. Ogni pagina web viene aperta, in Chrome, all'interno di un processo separato che agisce come una sorta di "compartimento stagno" rispetto agli altri processi in esecuzione ed all'intero sistema operativo.


Nel prossimo futuro un sempre maggior numero di produttori software guarderà alla tecniche di "sandboxing". Coloro che sviluppano i browser web sono sicuramente i più interessati: il browser, con la crescita della complessità delle applicazioni web, è ormai divenuto uno strumento sempre più "delicato" ed inevitabilmente molto più soggetto ad attacchi rispetto a quanto accadeva in passato. Quando il browser utilizza tecniche di "sandboxing", anche se un aggressore dovesse riuscire a sfruttare una vulnerabilità del prodotto, dovrebbe compiere un passo in più ovvero individuare anche una falla di sicurezza nella tecnologia per la gestione della "sandbox". Solo in questo modo potrebbe effettivamente danneggiare il contenuto del personal computer.

Al momento né Mozilla Firefox, né Apple Safari, né Opera offrono alcun meccanismo di "sandboxing". Mozilla sta comunque lavorando da tempo ad una tecnologia il cui principio di funzionamento appare molto simile a quello impiegato in Google Chrome. Il progetto si chiama "Electrolysis" e dovrebbe debuttare con il rilascio di Firefox 4.0.


Sebbene Chrome abbia superato con il massimo voto l'esame "Pwn2Own" va comunque ricordato come ogni software non sia esente da problematiche di sicurezza. Alcune di esse, oggi sconosciute, vengono sanate nel momento in cui il produttore rilascia una versione aggiornata del suo prodotto software. Per gli utenti la pratica legata alla tempestiva installazione di un aggiornamento, nel momento in cui questo viene rilasciato, riveste un'importanza a dir poco fondamentale, soprattutto nel campo dei browser web, qualunque sia il prodotto scelto.

  1. Avatar
    lorenzo pastore
    31/03/2010 08:53:57
    Ci tengo a sottolineare che in quella gara ci sono stati due pesi e due misure, tutte pro-Chrome e anti-Firefox, quindi il fatto che Firefox (in versione 3!) sia stato "bucato" è l'ovvia conseguenza di un trattamento non imparziale. Maggiori info le potete leggere su un articolo di Mozilla Italia: http://forum.mozillaitalia.org/index.php?topic=44684.0
  2. Avatar
    Michele Nasi
    30/03/2010 19:44:20
    E' tacito che Google Chrome, come qualunque altro browser e così come qualsiasi software abbia dei bug (avevamo dato la notizia dell'invito a "forzare" Chrome, giunto da Mountain View, già a febbraio: http://www.ilsoftware.it/articoli.asp?id=5901 ). E' altamente probabile che Google, come peraltro fa ad ogni rilascio di un aggiornamento di Chrome, provveda a "sanare" - nel prossimo futuro - vulnerabilità più o meno gravi (scoperte nel corso di indagini interne o su segnalazioni di altri esperti di sicurezza). Questo mi pare chiaro. Mi sembrava utile tornare sul concetto sandboxing che da molti esperti di sicurezza è considerato come un passo obbligato per porsi alle spalle i rischi di esecuzione di codice nocivo sulla macchina in uso, in ambiente Windows.
  3. Avatar
    gnulinux866
    30/03/2010 19:23:31
    Non metto in dubbio il fatto che sia difficile scovare bug sfruttabili in un browser dal cuore open come Chrome, però dire che è rimasto indenne agli attacchi sferrati al Pwn2Own è sbagliato a mio avviso. Non hann avuto semplicemente il tempo necessario per scovare qualche bug sfruttabile non c'è stato il minimo tentativo d'attacco, anche se 11 giorni fa Chrome è stato aggiornato, sono state corrette alcuni vulnerabilità gravi, tant' è che la stessa Google ha premiato in denaro gli scopritori di diverse falle( http://www.webnews.it/news/leggi/12620/ ... 412491036/ ). Ci tengo a precisare che sono totalmente d'accordo con l'ultima parte del vostro articolo.
  4. Avatar
    Michele Nasi
    30/03/2010 10:46:58
    Fai una ricerca su Google per "chrome pwn2own": troverai centinaia di fonti. In un'intervista rilasciata a ZDNet lo scorso anno, Charlie Miller aveva già dichiarato che l'individuazione di vulnerabilità "gravi" in Chrome è un'attività estremamente dispendiosa proprio in forza del modello di protezione impiegato dal software ("sandboxing"). Come fatto presente anche nell'articolo, un aggressore deve riuscire a trovare un "bug" che gli permetta di uscire dalla sandbox.
  5. Avatar
    gnulinux866
    30/03/2010 10:25:47
    Scusate la curiosità ma dove avete appreso la notizia che Chrome ha resisto agli attacchi?? Che io sappia, Chrome non è stato bucato perchè non hann nemmeno provato bucarlo, al Pwn2Own gli exploit vengono preparati mesi prima, evidentemente con Chrome non han avuto tempo il tempo necessario, la modalità protetta è solo uno strumento d'ostacolo, non mette al sicuro dalle 0day, basti pensare che anche IE8 è stato bucato nonostante DEP e ASRL, per creare l'exploit per IE8, MemACCT ha impiegato circa 2 settimane.
Pwn2Own 2010: