Proponha uma correção, faça uma sugestão
Google foi o primeiro a cair no Pwn2Own 2012
O Pwn2Own é a maior competição de hacking que se realiza todos os anos, tendo por alvo os browsers presentes no mercado. Todos os anos são atacadas as mais recentes versões dos browsers, com a intenção de serem mostradas as suas vulnerabilidades.
Depois de ter passado anos a fio a ver a concorrência ser esmagada de forma avassaladora no Pwn2Own, este foi o ano do Chrome ser o primeiro a cair. E não se limitou a cair uma vez, mas sim duas!
As duas tentativas consumadas de quebrar as barreiras de segurança do Google tiveram o mesmo alvo. O sistema de Sandboxing do Chrome foi contornado e nos dois casos conseguiram executar código arbitrário na máquina onde o Chrome estava a ser executado.
Estas duas "vitórias" sobre o Chrome aconteceram em paralelo dentro da conferência de segurança CanSecWest. A primeira foi no conhecido evento Pwn2Own e foi conseguida pela equipa da empresa Vupen Security, que o ano passado conseguiu derrubar as defesas do Safari.
A segunda rendeu um pouco mais ao seu executor pois decorreu no evento paralelo patrocinado pela Google e que tinha como prémios 60 mil dólares. O jovem Sergey Glazunov conseguiu levar para casa este prémio e deixou informações úteis para a Google resolver o problema que tem em mãos.
Justin Schuh, da equipa de segurança do Chrome mostrou-se admirado com o feito de Sergey Glazunov e pela forma como ele o conseguiu, mostrando que conhece bem a forma como o Chrome funciona.
It was an impressive exploit. It required a deep understanding of how Chrome works. This is not a trivial thing to do. It’s a very difficult and that’s why we’re paying $60,000.
Imediatamente após a apresentação destas duas falhas a Google colocou em campo os seus engenheiros e 24 horas depois apresentada uma actualização ao seu browser que corrige e resolve esta e outras falhas.
Segundo o CEO da Vupen Security o ataque que fizeram ao Chrome pretendeu apenas mostrar que não existem browsers invioláveis e que após tanta publicidade sobre a sua invencibilidade, fruto dos Pwn2Own de anos anteriores, também o Chrome pode ser quebrado.
Esta quebra foi o resultado de 6 semanas de trabalho e as palavras de Chaouki Bekrar, CEO da Vupen Security, resumem bem os pontos de quebra encontrados no Chrome.
We had to use two vulnerabilities. The first one was to bypass DEP and ASLR on Windows and a second one to break out of the Chrome sandbox. It was a use-after-free vulnerability in the default installation of Chrome [which] worked against the default installation so it really doesn’t matter if it’s third-party code anyway.
Depois da queda do Chrome os ataques continuaram e alguns dos restantes brwosers acabaram por cair. No final o saldo ficou-se pela quebra do Chrome, do IE8 e do Firefox.
Homepage: Pwn2Own
Este artigo tem mais de um ano
Loading ...
ai ui vou já mudar de browser 😀
Então não uses nenhum, porque vais mudar sempre. 😛
Boas…
será que o meu Fabuloso Opera também estava em concurso???
Se sim…maravilhoso, se não…tenho pena que este não tenha entrado!!
cmps
IE8? Sem comentários, e ainda dizem as ultimas versões.
O Google Chrome não pode ter um problema, que é logo tudo a atacá-lo e a dizer que vai mudar de navegador…
Não faz sentido nenhum. Parece que ninguém pode errar.
Já agora, quando a vossa equipa perde um jogo, vocês “vão logo mudar de equipa”?
Concordo….
Discordo, 1º não sou jogador, 2º a google tem publicitado tanto o seu produto que era suposto ele não ter caído (pelo menos ser o primeiro a ser derrubado), 3º claro que vou atacar alguém que me garante que o produto é seguro e numa conferência de segurança é o 1º a falhar, 4º claro que eles podem errar (mas não deviam 😉 ) e 5º utilizo o chrome (e vou continuar a utilizar) porque o acho melhor que todos os outros mas não é por causa disso que vou ter uma confiança cega neste produto ou defende-lo com unhas e dente!
6º
+1
A pwn2own disse que era injusto o chrome ter sido o primeiro a quebrarem, em apenas 5 minutos, pq de todos era o mais seguro, devido ao sandboxing, segundo o facto de ter sido mandado abaixo e por um lado bom visto que permite a google corrigir estes erros que de outra maneira poderiam manter-se “secretos”. Aliás eles ofereceram $60,000 a quem conseguisse quebrar exactamente por isso, para descobrir falhas.
o bruno estava a ser ironico,penso eu.é claro q nao ha nada infalivel
Use um Browser sem ant viruz para ver o que lhe acontece!!!
Qualquer browser ficaria em péssima situação!
O que realmente faz a diferença é o bom senso!
Google até morrer, xxxx -se o resto!
Use google o melhor e mais rapido de todos!
Ena temos aqui um fundamentalista. hahahahahahahahahahahaha
O browser sem anti-virus não tem qualquer perigo, perigosos são os sites por onde andam, questão de usabilidade somente.
ui!! Essa linguagem.
Haja bom senso…
Nossa que biolência…
Fanatismo! Já não bastava os do futebol, esses ao menos apoiam um conjunto de desportistas, agora temos destes que ainda são piores, que apoiam marcas, sabe-se lá porque.
E os do futebol não são marcas? 🙂
É tal e qual.
são marcas também, mas este tipo de comportamento só reflecte o tamanho da ignorância de cada um…
não ponho as mãos no fogo por nenhuma empresa, muito menos pela Google
Bonita demonstração de ignorância. O que é que o browser tem a ver com o anti-virus? Nonsense.
nunca usei um AV, até digo mais os AVs só servem para deixar os PCs lentos. e entre firefox, opera e chrome (ordem pela qual os usei ao longo dos anos) nunca tive um único problema…
talvez se acreditassem menos que são o utilizador 10000000 tinham mais sorte
Era normal que o prémio que ofereciam, que fossem feitos mais esforços para derrubar o Chrome.
Quanto mais massificado , mais as probabilidades de se encontrarem falhas , foi sempre assim e será sempre assim , segurança absoluta não existe convençam-se disso
Cumprimentos
Serva
Não sendo defensor de nada, espero que esse comentário tenha o mesmo efeito para o Windows e Internet Explorer.
Mais ou menos…
é que nas vezes que ainda participavam Sistemas Operativos…o teu amigo windows…levava sempre uma cabazada do meu Amigo linux hehehehe, por algum motivo era!
cmps
o safari não foi testado ou passou os ataques?
No one cares about safari. It’s not worth the time and effort.
Curiosidades!
Os browsers e os problemas de segurança fazem-me lembrar os cofres e a experiência vivida numa empresa onde trabalhei! Por trabalharmos com dados sensíveis ligados às finanças certos assuntos eram guardados no cofre. Com o tempo os cofres iam sendo substituídos em tamanho, modernidade e segurança, claro está. Os cofres (mecânicos) mais pequenos eram facilmente arrombados quando o pessoal se esquecia da senha ou da chave arrombava a fechadura. Porém, um dia, quando o cofre já era quase uma despensa, alguém o trancou de tal maneira que o gajo não abria. Bem, agora só restava chamar o técnico. E assim foi. E, para mim que sou da velha guarda, foi também a experiência pessoal mais espectacular em termos de pseudo segurança. O gajo chegou lá, analisou o cofre, consultou uma espécie de diário que trazia com com ele e perguntou se alguém o podia ajudar. A ajuda consistia em dar uma martelada na porta do cofre quando ele dissesse. Eram precisas duas pessoas porque ele precisava de dar 3 marteladas em simultâneo. Colou então umas folhas de jornal no sítio certo e martelámos. Ouviu-se um clique. A porta abriu. Parecia coisa de filmes. Lá se foi a segurança. Resumindo, nada, mas mesmo nada oferece segurança absoluta. Se foi inventado pela mente humana, mais tarde ou mais cedo vai existir quem descubra a solução.
Bem hajam!
Disse absolutamente tudo.
Concordo contigo, tudo que um homem faz um homem desfaz, pode não ser desfeito ainda, porque ninguem tentou. Mas cedo ou tarde conseguem. O browser mais seguro é aquele cuja as vulnerabilidades são as mais exploradas e as mais rapidamente reparadas. Como no Linux diziam ser seguro, pois era um SO pouco explorado, atualmente é um sistema em crescimento como solução até empresarial e suas falhas estão sendo exploradas como nunca, é normal aparecerem novas brechas, o importante é a velocidade de resposta na correção das mesmas.
O linux não passou agora a ser um sistema comercial, assim como os sistemas unix…meu caro!
Ainda a microsof não tinha nascido e ja havia unix’s “por todo o lado”.
Uma das vantagens do linux é ter crescido num ambiente hostil… a rede, e por isso leva muitas correcções de segurança…claro isso só acontece porque é de código aberto, caso contrario estaria pior que o windows,pois dependeria apenas de mei duzia de gatos pingados para aplicar patchs.
cmps
Apesar de tudo, a Google ainda é a comandante, não só no seu motor de pesquisa mas também nos smartphones com o seu Android. E não é por isso que vai perder clientes…
De qualquer maneira, bom artigo Pedro!
Abraço
E Hoje já houve actualizações o que é de enaltecer .
Cumprimentos
Serva
Assim fosse também com outros produtos da Google 🙂
Até a data tenho tido mais problemas com o IE do que com o Chrome, portanto mantenho-me ainda no Chrome. Entretanto os outros browser tambem acabaram por ter falhas por isso.
Só precisava era de mais estabilidade com o plugin flash.
Hummm…não ouvi nada aacerca do meu querido Opera!!
cmps
“Google foi o primeiro a cair no Pwn2Own 2012”. Bom título! Ainda não li o artigo, mas pelo título consigo logo concluir que as acções da Google devem ter caído na bolsa. Foi isso?
Será que neste artigo do pplware não deviam ter um título do tipo “Apple e Microsoft foram os primeiros a cair”?
Repara nas datas. Esse link remete para o Pwn2Own 2011. É melhor ler bem antes de vir para aqui disparatar!
Cumps.
Francisco, lê lá bem o meu comentário antes de vires para aqui disparatar!
Pequeno aprendiz troll, o q fazes aqui a criticar o título de um artigo?
Realmente… boa questão!!!
Pequeno idiota, faço exactamente isso: critico o título enganador de um artigo.
Nao vale a pena… Sofre tudo de asperger neste site. Tens que explicar palavra a palavra para entenderem. (para os grammar nazis: nao tenho pontuacao neste teclado)
Usa o teu conselho.
É melhor ler bem antes de vir para aqui disparatar!
O titulo é mesmo enganador.
Enganador? Como pode ser enganador se a tua interpretação é diferente na minha?
Podes é afirmar que o título, segundo a tua interpretação é enganador… claro que cada um tem liberdade para se enganar com o que pensa ver e não pelo que vê na realidade.
*cough* bullshit *cough*
E, na tentativa de parar com esta discussão que, penso que falo por todos quando digo que já foi longe demais, é óbvio que, por muito que se tente fazer crer do contrário, o título está enganador (para não dizer ignorante).
É óbvio que vocês nunca colocariam um título do tipo “Apple foi a primeira a cair” ou “Microsoft foi a primeira a cair”, ao referirem-se ao Safari ou IE, respectivamente.
Como tal, por muitas justificações que se arranjem para não perder 10 segundos a editar o título deste artigo, nenhuma será um pretexto válido.
Porquê? Metemos Google pelo empenho brutal que a Google tem neste evento. Já a Apple nem se dá ao trabalho de “proteger” o seu browser mesmo sabendo que vai ser exposto publicamente.
Ignorante é a forma como algumas pessoas abordam os nossos posts, nitidamente de forma pessoal, tendenciosa e com um critério que não é o nosso, nem o que estamos a transmitir.
Eu como utilizador Google e não uso o Safari, nem entendo bem porque razão as empresas deixam os seus browsers expostos a estas afrontas, quando estas deveriam ter a mesma atitude que a Google teve e tem desde há 3 anos para cá.
Se vocês não vêem isso dessa forma… não é nosso o problema e de certeza que ignorantes não somos nós.
Vítor, por esta tua última resposta começo a perceber a animosidade relativamente ao meu primeiro comentário.
Pelos vistos não me fiz entender relativamente ao que eu queria dizer.
Não estou aqui a tentar dar alguma preferência a esta marca ou aquela. Estou-me a marimbar para as marcas.
O que estou a dizer é que, no título, onde está “Google” devia estar “Chrome” ou “Google Chrome”. Dizer que o Google foi o primeiro a cair no Pwn2Own 2012 é estar a enganar os leitores que usam RSS feeds para escolherem os artigos que querem ler.
Quem foi o primeiro a cair foi o Google Chrome, não foi o Google.
Foi só isso que quis dizer. Não ligo puto a marcas. Clubismos já me chegam os de futebol.
O que me interessa é se o produto é bom, ou não. Quem o faz, para mim não é importante.
Calma, não é animosidade nenhuma, é apenas a explicar a intenção do título. Pois como abordaste a questão até parecia ser um clubismo em causa e não tem nada a ver.
Eu nem clubes de futebol quanto mais marcas, eu é pela qualidade das ferramentas/produtos, sejam elas quais forem. Mas não podem criticar um título e supor uma interpretação de nossa parte, não podem, nós apenas seguimos uma linha muito vertical em relação à informação… pura e dura.
Abraço.
Tem em conta que a versão que caiu foi a 17. Depois dessa já há outras. Essas últimas versões podem ter as ditas falhas resolvidas.
IE8? Andam a usar o XP? Hmm… E o Safari como se portou? 🙂
Não me admira nada, é claro que depois dos últimos anos sem quebrar, os hackers iam focar a atenção no crome, então com este prémio…Agora para os próximos anos nenhum escapa!
Boas,
Exelente cometários e outros nem por isso… Esta coisa de segurança é só uma questão de valer a pena ou não. Por exemplo o linux ou o MacOS(embora recentemente tenha aparecido alguns vírus para mac) são mais ‘seguros’ só pelo simples motivo de não serem muito usados e não compesar o esforço para quebrar o sistema…
Nesta guerra dos browsers se os outros fabricantes fossem oferecer 70.000$ o chrome ficava “seguro” pois os outros compesavam mais… De qualquer forma muito bem pela parte da equipa da google por esta descoberta que nos vai meter mais seguros!
Como muitas pessoas disseram basta bom senso, pois até hoje um dos vírus que NINGUÉM consegiu eliminar é o BadUser…
Bem haja
Boas…
se fizesses ideia da quantidade de maquinas, routers, servidores,etc a correr linux por esse mundo fora…acho que ficavas maluco!!!
São extremamente usados, e num ambiente hostil como a net…
Mas de uma forma geral a sua concepção é mais segura, são sistemas que cresceram na rede…
Agora , o verdadeiro motivo pela qual a malta não destoi, é porque a filosofia do linux, é cheia de valores humanos, e isso é +/- respeitado pelo pessoal da “pesada”, de não esquecer que a maioria deles são grandes gurus de linux..
cmps
USO o linux!
E o windows… e de quando em vez um mac.
E sim o linux é usado em MUITO sitio, só começar a contar telms. android e tens muitos dispositivos, agora como desktop não é muito usado! E sim a nível de “construção” o linux foi feito também a pensar na segurança e é muito mais fácil de se conseguir uma actualização para algum bug que se descubra. Mas acredito se tivesse mais utilizadores Desktop os bugs eram descobertos mais “rapidamente” e os sistemas(Desktop) eram atacados com mais facilidade…
Boas…
sim com certeza, mas de uma forma geral, não atacam maquinas pessoais, mas sim servidores, que estão constantemente debaixo de “fogo”, tenho lido artigos sobre isso nos servidores linux, e outros, e é uma guerra, pois furar um servidor, pode dar-te muito lucro, usando toda a info que está lá dentro.
Mas claro, os que se dedicam ao desktop,teriam uma amostra de maquinas de teste maior.
Não acredito que pode-se sequer chegar a um décimo daquilo que acontece com a M$, as praticas usadas por esta empresa e outras , estão como alvo desses indivíduos, e mais uma vez são muito a favor de linux, acredito que cresce-se há sempre aqueles que sofrem “desvios” lol, mas acredito que a maioria dessa malta continuaria a atacar modelos de negocio que não acham correctos!!
cmps
Que se passou com o Safari? Lembro-me de ano passado e à dois anos, sempre que descobriam uma falha era o fim do mundo… Isto só vem provar que este tipo de competições são bastante úteis e que por norma, quem os vence, vem sempre com o trabalho de casa bem estudado. Pessoalmente sou fa dos Browsers baseados em Webkit, mais pela renderização dos mesmos. Penso que este tipo de competições diz pouco sobre o browser mais seguro, até porque por norma, quem os vence é alguém que estuda com o objectivo de ganhar alguma coisa… Desta vez foi o Google a oferecer o melhor prémio, e no fundo ficou com o problema resolvido
Agora só resta ao Google corrigir as falhas que foram detectadas e que permitiram estas “vitórias”. Lembrem-se que a Google anunciou que pagaria pelas falhas que fossem reveladas. Mais alguém já fez isto?
Já, mas não da mesma maneira. O Pwn2Own tem prémios para quem demonstre que as vulnerabilidades existem.
A diferença é que nos prémios da Google do Pwn2Own, que eram um bocado melhores, para receber o prémio era preciso explicar à Google como se fez. Nos outros prémios não.
Há mais “green hackers” (green é a cor das notas de dólar). Ou seja, nem toda agente trabalha semanas para descobrir uma vulnerabilidade e depois chega à grande empresa (Google, Micrososft, …) “Existe este exploit que se corrige assim e assim”. Quer ver umas “green”. Acho que tem direito a ser pago pelo seu trabalho,
O que interessa é que agora comecem a corrigir as ditas falhas. Errar é humano. Mas quem erra e não corrige é burro.
OPERA FTW!
O Chrome já o ano passado ganhou outras falhas, e esta equipa que descobriu esta falha, já tinha descoberto outras tanto este ano como o ano passado.
Deixa o Chrome ganhar uma versão mesmo madura, e vão ver se o Chrome não vai ficar como o Firefox está hoje.
O Chrome em relação à idade e maturidade, está muito longe do Firefox, vejam que o Firefox também durante as primeiras versões, não lhe foram conhecidas muitas falhas criticas, e agora vejam.
O IE9 apesar de estar muito melhor, continua a ter grandes falhas.
Apesar do Chrome estar mais seguro do que os outros browsers, não é diferente dos outros e tem falhas e irá ter muitas mais quando começarem a implementar novas coisas e / ou a melhorar outras.
Agora em relação ao alarido à volta das falhas do Chrome, deve-se ao facto da maioria dos seus utilizadores, dos programadores e da própria Google frisarem que o Chrome é um browser muito seguro e quase imune a ataques, o que na realidade toda a gente ou pelo menos os mais conscientes sabem que nada é completamente seguro ou imune e quando aparece uma falha deste tipo, é logo um falatório.
Pelo menos esta é a minha opinião sobre a coisa.
O que é Google?
Não sabes ? Vais ao Google.
Hilário
não por causa disso que prefiro o firefox. o chrome tem falhas de seguranças, o ff tem falhas, o IE idem, o opera idem….mas isso não me preocupa muito. acho que a segurança depende muito pouco do browser em si. se n fosse o marketing da google em promover o seu browser não sei se estaria no topo agora, mas isso não faz dele um mau navegador, aliás uso o chrome como “ajuda” e estou satisfeito quando tenhode fazer coisas mais básicas
O Opera? aonde esta isso?!…lol
cmps
Acreditem que o Chrome é nesta altura o browser mais seguro. Ser mais seguro não quer dizer que não seja possível aos hackers encontrar-lhe vulnerabilidades.
Quanto a ser “o primeiro a cair”, é destas coisas. Não é um tipo que, no encontro, se senta ao computador e dali a bocado descobre a vulnerabilidade. Andou semanas à volta até a descobrir e depois vai só mostrar.
No caso do prémio da Google, o hacker para receber o prémio está obrigado a mostrar à Google como fez. Nos outros prémios não. Pode-se só mostrar que a vulnerabilidade existe.
http://tech.slashdot.org/story/12/02/04/1753254/german-government-endorses-chrome-as-most-secure-browser
o chrome n fica mais fraco depois disto, exactamente o contrário, fica mais seguro, a ideia era mesmo essa dai a google dar $ aos hackers que descobrirem as falhas
O interessante é que quando se trata do Google desculpa-se tudo. Se fosse o Internet Explorer… ui ui.. nem queria ver. Mas como isto anda tudo na dualidade google-apple eles que se vão rindo. Por algum motivo não uso nada destes gajos. Chrome nunca goste, do IE muito menos e do SAfari se quizer estar na moda só para ver gajas e não telefones ou computadores com design.
Pois… Vê-se. Quanto tempo demora a Google a resolver as falhas e quanto demora a Microsoft. Algumas falhas do IE estão anos e anos por resolver.
A questão é que a cada teste o IE falha sempre, no Chrome nunca falhou nestas provas, salvo agora. Veremos para o ano se voltará a falhar. Portanto é natural que critiquem o IE que anda por aqui há tantos anos e sempre com problemas e não o Chrome.
Carissimos boa noite,
Ignorando o alvo dos comentários só tenho a dizer o seguinte, para tudo o que é codificado/protegido é criado e existe forçosamente o descodificador/desprotector (perdão pelo possível erro o que interessa é que percebam).
A partir daí será sempre possível encontrar uma ou mais falhas. E relembro, código, máquinas, somos nós pessoas que os fazemos, e a velha máxima ainda se aplica “errar é humano” quem não errou que faça a 1º crítica negativa!
E pelos absurdos que li, existem aqui muitas máquinas a tecer comentários.
Agora sobre o Chrome e outros browsers, reconhece-se o valor do autor do software em promover a sua correcção imediata, mais é gratuito, a meu ver acho que devem continuar o excelente trabalho e melhorar cada vez mais.
Cumprimentos aos restantes
Já saiu a actualização.
É para isto que servem estes ‘concursos’!
O russo está farto de apanhar bugs e ganhar dinheiro, tudo somado…
http://www.chromium.org/Home/chromium-security/hall-of-fame
Mas sera que e’ tudo parvo neste site? O que a Google fez foi genial. Ao atribuir um premio, passa a haver incentivo extra para quebrar o browser. Assim sendo, mais rapidamente a Google tem nocao se existe ou nao alguma falha no seu software que tenha passado despercebida. Com isto corrigem imediatamente o erro e ficam com um browser ainda mais seguro, superando a concorrencia.
Hacking da muito trabalho, acham que alguem se vai dar ao trabalho de quebrar um browser que “ninguem usa” (sim estou a falar do opera)? O que recebiam em troca? Nada.
Assim ganham todos, a empresa (google passa a conhecer um novo erro e corrige o mesmo), o hacker (ganha $60.000 salvo erro) e o utilizador (ganha um browser mais seguro).
Concordo plenamente. foi uma estratégia muito inteligente de facto…
Tomara que outras seguissem o exemplo. Mas o que me admira é que o IE9 tb caiu e ninguém fala disso.
http://www.zdnet.com/blog/security/pwn2own-2012-ie-9-hacked-with-two-0day-vulnerabilities/10621