Luca Annunziata

Hacka il Mac, Vista e pure Linux

Il singolare concorso per scovare falle nel sistema operativo con la mela si allarga. Ora nel mirino ci saranno pure Windows e Pinguino. Vince chi li buca per primo

Roma - PWN to OWN, seconda edizione. Un'idea originale, quella lanciata in occasione del CanSecWest dello scorso anno, la più nota fiera sulla sicurezza informatica che si svolge in Canada. Una gara a trovare falle nel sistema operativo OS X, per vincere un premio in denaro e un notebook. La novità per l'edizione 2008 è l'allargamento del panorama: perché limitarsi a trapanare Mac, quando ci sono pure Vista e Linux?

Quest'anno, dunque, ci saranno tre sistemi in lizza: il felino di Cupertino, la scrivania di Redmond e il Pinguino proveniente dal mondo open source. Le regole saranno le stesse del 2007, vince chi lo buca nel minor tempo possibile: e gli organizzatori si dicono molto curiosi di scoprire "chi tra i tre cederà per primo".

Lo scorso anno c'era voluta una notte di lavoro a Dino Dai Zovi per trovare la falla giusta nel player QuickTime. Una falla poi rivelatasi comune anche a Windows, e tappata da Apple solo un paio di mesi dopo. Una falla, per altro, foriera di altre: lo stesso Dai Zovi, a dicembre, aveva individuato una vulnerabilità analoga che coinvolgeva persino il metamondo di Second Life.
Nonostante le polemiche seguite al PWN to OWN 2007, quelli di CanSecWest vanno dritti per la loro strada: a loro dire, l'iniziativa ha avuto il merito di dare una scossa alla questione sicurezza nel mondo Mac.

"Cercavamo di far capire alla gente che c'era un problema sicurezza con Apple, ma tutti giocavano a fare gli struzzi con la testa sotto la sabbia" spiega Dragos Ruiu, uno degli organizzatori della manifestazione. Per quest'anno, poi, Ruiu ha anche pronta un'altra sorpresa: non vuole svelare quale sia, ma promette che sarà "uno spettacolo interessante".

Luca Annunziata
148 Commenti alla Notizia Hacka il Mac, Vista e pure Linux
Ordina
  • Gli utenti Mac che conosco mi ripetono sempre la stessa cosa: il Mac oltre a non prendere virus, è anche inviolabile. Mi piacerebbe sapere il parere di qualche esperto.
    non+autenticato
  • la prima per adesso è certa, la seconda è palesemente falsa. solo che a quanto ne so mac zombie non ce ne sono.
  • - Scritto da: lellykelly
    > la prima per adesso è certa, la seconda è
    > palesemente falsa. solo che a quanto ne so mac

    Perdonami ma cosa intendi con "palesemente" ?
    non+autenticato
  • Un computer inviolabile è un computer non collegato in rete, spento, con le periferiche smontate e sotterrato in giardino.
    non+autenticato
  • - Scritto da: Jack
    > Gli utenti Mac che conosco mi ripetono sempre la
    > stessa cosa: il Mac oltre a non prendere virus, è
    > anche inviolabile. Mi piacerebbe sapere il parere
    > di qualche
    > esperto.

    bisogna vedere cosa intendi per inviolabile..
    inviolabile in locale(sicurezza del sistema operando loggati alla macchina con account "non amministratore" come veicolo di attacco);
    inviolabile da remoto(attacco "via internet" attraverso servizi vari o falle o bug);
    inviolabile all'idiozia del utente(il peggiore e piu' pericoloso dei virus/trojan)Sorride

    ora visto che di mac chiedi di mac parlo (anche perche' per le altre piattaforme ci sara' gente piu' esperta di me sicuramente...), premesso che "Sagge Parole" esprime in una battuta un pensiero valido, bisogna considerare che:

    mac durante l'hacka e' si stato violato.. ma come? se nn ricordo male la sfida iniziale prevedeva un mac e gli hacker... dopo un intera giornata andata a vuoto venne "allentata" la maglia della sicurezza, ossia venne permesso di usare programmi sul mac sotto attacco... zavi nella fattispecie sfrutto un bug di quicktime o ancora meglio un bug presente in quicktime relativo alla gestione di java(che affliggeva anche quicktime x windows), questo difetto pero' era pericoloso solo se "un utente" caricava da safari o firefox una pagina con codice malevolo... un tipo di attacco ben noto sotto win.

    quindi, tralasciando la sicurezza in locale che con gli attacchi ha poco a che vedere... (per resettare una password amministratore su mac basta avviare da dvd di installazione un mac e resettare a passwordSorride nn c'e' da perdere tempo a scalare i privilegiSorride )

    parliamo delle situazioni nelle quali nn si ha accesso diretto al mac... se messo vagamente in sicurezza osx e' una botte di ferro... se win(xp ovviamente) senza sp viene collegato a internet prende virus(visto con i miei occhi) con sp2 quasi niente ma se navighi arrivano i dolori, macosx nn ha di questi problemi (perche' nn esistono virus, alcuni dicono almeno per ora... osx e' in giro da 7 anni, prima era conosciuto come nextstep poi openstep, lo usava la nasa e un po di corporate sparse per il mondo, tipo banche.. insomma nessun interesse a bucarlo, che a sua volta deriva da freebsd o netbsd nn ricordo mai...)

    morale della favola non esiste un software esente in assoluto da difetti, esistono software meno soggetti agli attacchi per design, ma in ultima analisi il mac di un utente scellerato e' piu' sicuro o ugualmente sicuro rispetto al pcwin di un utente consapevole... per pura probabilita', lasciando perdere i discorsi teorici o filosofici, nella vita vera ad oggi un mac e' una cassaforte, alcuni dicono di vetro... sta il fatto che la wired-life, la vita collegata, quella che tutti ormai subiamo/desideriamo(navigazione wec, email, chat, p2p) e' molto, molto, molto meno rischiosa se vissuta con un mac o un linux, i motivi nn interessano e' fattuale che nn si rischiano Virus Infezioni Spybot Trojan Attacchi se tra 1 anno sara' diverso e' un altro discorso, oggi e' cosi'
    non+autenticato
  • questo è il discorso + imparziale che io abbia mai letto su questo forum. giuro!
    con anche dei numeri a supporto, questo discorso potrebbe diventare LA discussione definitiva su Windows/Mac.

    (mi piacerebbe idolatrarti a vita ma tra un'oretta devo uscire quindi niente!!!Con la lingua fuoriA bocca aperta)
  • peccato...Sorride

    la discussione definitiva sul rapporto/scontro tra win/osx si' si' come no!! guarda quanti ammiratori dei panorami si sono lanciati in articolati discorsi nell'intento di perorare la loro causa cosi' veementemente sostenuta in altre discussioni a forconi e grida quali "troll" "macaco" "cantinaro" senza dimenticare i vaneggiamenti libertari di 20enni (niente contro la categoria sia chiaro, e' usato come, troppo giovani per ricordare un altro tempo) contro organi di controllo come l'untitrust (ma e' quasi giustificabile, in italia nn siamo abituati a certe strutture di sorveglianza) eccecc...
    e' la mancanza di prospettiva e autocritica che manca troppo spesso a noi italiani e quando messi alle corde arriva l'onnipresente "tanto tutto fa schifo quindi perche' cercar di meglio"
    non+autenticato
  • ancora la baggianata della mancanza di interesse dei "produttori" di virus per la percentuale di mercato di osx??

    ma davvero ci credete?? ma davvero pensate che nn vengano prodotti virus per mac perche' ha una percentuale di mercato sotto il 10% ?? quando la sua percentuale di mercato era sopra il 25% altri tempi altro mondo, il rapporto dei virus mac/win era..... quanto migliaia a decine? pace ai bit suoi disinfectant mantenuto per 10 anni da un singolo programmatore era disponibile gratuitamente e venne dismesso con la comparsa dei macrovirus di word/exel...

    davvero pensate che chi ha interesse a rubare o frodare nn sia interessato ad una fascia di utenti mediamente piu' ricchi e spendaccioni?? un 5% di 1000 e' niente ovvio.. ma quanti sono i pc in circolazione? qual e' il tenore di vita medio degli utenti mac? per favore nn continuate con queste baggianate... accendere la razionalita' oltre al monitor del pc mai?? e' una questione di amor proprio!!
    non+autenticato
  • Only two remote holes in the default install, in more than 10 years!A bocca aperta

    microsoft?nahhhh,troppo facile!
    non+autenticato
  • Due?

    Porca miseria ero rimasta a una in otto anni.
    Ora mi tocchera` patchare...
  • IO PBSD l'ho provato e sono un utente di base.
    A me è capitato che facendogli fare da gateway e lanciando su un client e-mule adunanza... è andato in crash....troppe connessioni?
    non+autenticato
  • - Scritto da: Gino lapulùzzol a
    > IO PBSD l'ho provato e sono un utente di base.
    > A me è capitato che facendogli fare da gateway e
    > lanciando su un client e-mule adunanza... è
    > andato in crash....troppe connessioni?

    Se BSD va giu sono problemi HW
         ...Fa anche rima....
    krane
    22544
  • in ogni caso crash non significa falla o sbaglo?
    non+autenticato
  • crash=falla come incidente=motore fuso
    non+autenticato
  • Occhio, tra un po' passa qualcuno e ti dice che BSD non è sicuro, è solo utilizzato da pochi utenti e per questo nessuno ha interesse a trovarci i bachi!Imbarazzato
  • - Scritto da: X3333
    > Only two remote holes in the default install, in
    > more than 10 years!
    >A bocca aperta

    sei proprio proprio sicuro?
    http://secunia.com/search/?search=openbsd
    OpenBSD DNS Server PRNG Transaction ID Vulnerability 2008-02-07

    OpenBSD bgplg "cmd" Cross-Site Scripting Vulnerability 2008-01-31

    OpenBSD SIOCGIFRTLABEL Denial of Service Vulnerability 2008-01-14

    OpenBSD update for OpenSSL 2007-10-12

    OpenBSD dhcpd Buffer Overflow Vulnerability 2007-10-10

    OpenBSD Systrace and Sysjail Multiple Race Condition Vulnerabilities 2007-08-16

    OpenBSD update for file 2007-07-10

    OpenBSD IPv6 Type 0 Route Headers Denial of Service 2007-04-24

    OpenBSD update for X.Org 2007-04-05

    OpenBSD ICMP6 Packet "mbuf" Memory Corruption Vulnerability 2007-03-12

    OpenBSD ICMP6 Denial of Service Vulnerability 2007-01-19

    OpenBSD "vga" Privilege Escalation Vulnerability 2007-01-04

    OpenBSD ELF ld.so Environment Cleaning Vulnerability 2006-11-20

    OpenBSD update for OpenSSH 2006-10-12

    OpenBSD systrace "systrace_preprepl()" Integer Overflow Vulnerability 2006-10-09

    OpenBSD update for httpd 2006-10-09

    OpenBSD update for OpenSSL 2006-10-09

    OpenBSD update for BIND 2006-09-11

    OpenBSD update for OpenSSL 2006-09-11

    OpenBSD update for sppp 2006-09-04

    OpenBSD sempahores Denial of Service Vulnerability 2006-08-28

    OpenBSD isakmpd IPSec Sequence Number Verification Bypass 2006-08-28

    OpenBSD update for dhcpd 2006-08-28

    OpenBSD update for sendmail 2006-08-28

    OpenBSD update for httpd 2006-07-31



    Next 25 matches >>
    non+autenticato
  • - Scritto da: leakedSP1
    > sei proprio proprio sicuro?
    > http://secunia.com/search/?search=openbsd

    purtroppo c'è molta gente che parla per sentito dire e non verifica come stanno le cose. OpenBSD ha avuto molte vulnerabilità in questi ultimi anni, altro che 2 in 10 anni!
    non+autenticato
  • > purtroppo c'è molta gente che parla per sentito
    > dire e non verifica come stanno le cose. OpenBSD
    > ha avuto molte vulnerabilità in questi ultimi
    > anni, altro che 2 in 10
    > anni!

    Allora spiegami come mai usano una tale frase come loro motto

    Only two remote holes in the default install, in more than 10 years!
  • Che parte di "in the default install" ti sfugge?
    Se su openbsd ci fai girare sendmail ti becchi tutte le vulnerabilità di sendmail. Idem per apache e tutto il resto. D'altra parte come kernel e sistema rimane il meno bucato, i root exploit, ovvero i problemi che permettono a uno di entrare da remoto e diventare amministratore di un openbsd sono tuttora due. E parlo da linaro.

    Che ci siano altri modi per fare denial of service sfruttando una vulnerabilità è un discorso relativo. Se uno ti vuol fare denial of service noleggia un po' di botnet e ti intasa indipendentemente da quello che hai su piuttosto che scovare zero days su openbsd. Ti ricordo infatti che molte vulnerabilità sono rese note quando il bug e' già stato corretto.
    non+autenticato
  • "...la scrivania di Redmond"
    semmai le finestre di Redmond
    non+autenticato
  • In pratica sta dicendo che a parte gli 86 virus per mac gia' conosciuti, il piu' pericoloso dei virus moderni per osx e'........... WINDOWS?
    infatti leggendo l'articolo pare che windows su mac possa essere considerato un trojan da cui entrano tutte le schifezze possibili e i programmi microsoft veicolo di infezione inevitabile.


    SONO ESTREMAMENTE DACCORDO DI QUESTO.
    non+autenticato
  • - Scritto da: mistergio
    > In pratica sta dicendo che a parte gli 86 virus
    > per mac gia' conosciuti, il piu' pericoloso dei
    > virus moderni per osx e'...........
    > WINDOWS?
    > infatti leggendo l'articolo pare che windows su
    > mac possa essere considerato un trojan da cui
    > entrano tutte le schifezze possibili e i
    > programmi microsoft veicolo di infezione
    > inevitabile.
    >
    >
    > SONO ESTREMAMENTE DACCORDO DI QUESTO.

    Io invece penso che non sia molto saggio utilizzare un vero ambiente Windows dentro un Computer MAC
    ma è solo una mia opinione,non ho mai comprato MAC perchè non rientra nelle mie esigenze.
    (possiedo solo un vecchio IMAC G4 che mi hanno regalato ed è il ricordo di un parente che non ho più)
    LROBY
    lroby
    5311
  • i non windows sono immuni attualmente a tutto quello che non sia effettuato dall'uomo in realtime, cioè se ti metti li con un po' di pazienza sono dell'idea che alla lunga la vinci, ma qualcosa di automatico non esiste.
  • Mai sentito parlare di Metasploit vero?
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 9 discussioni)