Pwn2Own,subito violati Safari ed internet Explorer

Già al primo giorno del Pwn2Own,la nota sfida fra hacker che si tiene all'interno della conferenza sulla sicurezza CanSecWest tutte le versioni di internet explorer 8 e di Safari, nonostante le varie patch sono state violate poi è caduto anche Firefox 3 sotto Windows 7 a 64 bit ad opera dello studente tedesco Nils.

 Il primo a cadere è stato Safari 5.0.3 che era su un computer con istallato Mac OS X 10.6.6, completamente aggiornato dal punto di vista patch. La società Vupen, è stata la prima ad attaccare il browser e dopo pochi minuti, che il browser ha visitato la pagina web con il codice maligno predisposto, è stata lanciata l'applicazione campione che doveva dimostrare come il codice maligno fosse penetrato nel sistema ed è stato scritto un file sul disco rigido per dimostrare che la sandbox era stato violata. Secondo la ditta Vupen però, l'impresa non è stata facile a causa del fatto che il sistema a 64 bit di Safari non è ampiamente documentato. I presunti hackers, però sono tenuti a non rivelare i sistemi utilizzati per violare i browser prima che i programmatori degli stessi non rilascino patch per il problema di vulnerabilità evidenziato. In ogni caso la società Vupen ha vinto la sfida ed i soldi.

Anche Internet Explorer 8 è stato violato da Stephen Fewer di Harmony Security , utilizzando la versione a 32 bit di Internet Explorer 8 su un computer con istallata una versione a 64 bit di Windows 7 Service Pack 1. La Microsoft aveva poi, all'ultimo minuto deciso di rinunciare alle patch. Il ricercatore ha detto di aver sfruttato tre distinte vulnerabilità: due per ottenere l'esecuzione con successo del codice all'interno del browser, e una terza per sfuggire Ialla sandbox di nternet Explorer Protected Mode.

 Invece il ricercatore che doveva provare a violare Chrome, non si è presentato. Google, come abbiamo scritto aveva messo in palio una cifra maggiore per chi fosse riuscito a violare Chrome. Probabilmente però, l'uscita di Chrome 10, in cui erano state patchate 23 vulnerabilità ha messo in crisi il ricercatore che ha preferito non provare affatto. 

Google: promette 20.000 dollari all'hacker di Chrome

Google, ha promesso 20.000 dollari al primo ricercatore che nel contest hacker Pwn2Own in cui gli hacker cercheranno di violare computer con Windows 7 e Mac OS X ed anche i browser come internet explorer, Mozilla Firefox, Safari e Chrome.

Aaron Portnoy, direttore del team di sicurezza TippingPoint di HP, promotrice del contest Pwn2Own, aveva già comunicato in un blog che le vincite per gli hacker sarebbero state quest'anno molto più alte circa tre volte quelle del 2009 ed in totale sono in palio circa 125.000 dollari.

Ma Google ha voluto partecipare in proprio, come detto, alla manifestazione. Le regole per Chrome sono diverse rispetto a quelle inerenti gli altri browser perchè è l'unico dei quattro ad utilizzare un “sandbox”, ossia una difesa contro gli exploit. Quindi i ricercatori dovranno trovare due punti deboli, uno che annulli il sandbox e l'altro un bug all'interno di Chrome. Il fatto che Chrome, partecipi comunque alla manifestazione significa anche che è sicuro che il suo browser non possa essere violato,finora, infatti, nelle precedenti manifestazioni non è mai successo.

 Gli altri tre browser, invece sono stati tutti colpiti ed a volte, in pochissimo tempo. Nel 2009, un ricercatore tedesco di nome Nils è riuscito a penetrare nelle vulnerabilità di ogni browser, portando a casa 15.000 dollari, 5000 per ogni hack.

RockMelt il browser per social network

Se si vuole navigare sempre con l'occhio fisso su quello che fanno gli amici su Facebook si può usare RockMelt, costruito con la base del browser open source Chromium, sul quale è fondato anche Chrome e Facebook. Funziona anche per Mac, oltre che per Windows ma non per Linux e chi l'ha provato ha detto che è abbastanza veloce.



La versione è ancora in beta ed, a differenza degli altri browser, presenta delle barre laterali con a sinistra icone con gli amici su Facebook ed a destra i contatti su Twitter, che però attualmente non funzionano ed i feeds. Ci sono già stati altri browser che permettevano una migliore integrazione con i social network, ad esempio Flock, solo che RockMelt è stato lanciato da Marc Andreessen, cofondatore di Netscape e storico team leader di Mosaic e promette la velocità presente in Chrome unita alla possibilità di effettuare automaticamente il login di Facebook. Meglio comunque usare Chrome che surrogati, a mio avviso.

Google avvisi per gli url di phishing

A settembre Google ha annunciato un programma che prevedeva l'invio di avvisi agli amministratori di rete e questi avrebbero, quindi, ricevuto email indicanti gli url ritenuti dannosi dallo scanner automatico di Google.



Ora, il programma è stato avviato e quindi ora gli amministratori di rete possono ricevere avvisi e possono pulire i loro siti. Infatti spesso gli hacker bersagliano i siti web, al fine di inserire contenuti maligni e questo avviene all'insaputa del gestore del sito web. Questi avvisi possono anche essere utili in quanto c'è sempre un lasso di tempo prima che questi url finiscano nella lista nera e invece gli amministratori possono agire più velocemente e cancellarli. Comunque anche Chrome ha integrata la navigazione sicura e blocca l'accesso degli utenti ai siti in black list.

Cinque modifiche positive in internet explorer 9

Come sappiamo altri browser tipo Chrome e Firefox sono sicuramente più innovativi ma lo sviluppo di internet explorer 9, si sta attuando attraverso vie nuove ed anomale per la Microsoft,vediamole .


Prima di tutto Internet explorer 9 abbraccerà gli standard web del futuro.
Basterebbe infatti chiedere a qualsiasi sviluppatore web perchè non utilizza CSS3 o HTML5, e questo risponderebbe semplicemente perchè non tutti i browser li applicano, in particolare, Internet Explorer, che detiene attualmente oltre il 50% del mercato.
Quindi sarà importante anche per gli sviluppatori che internet explorer 9 abbracci questi standard in futuro, anche se ci saranno ancora molti utenti, che magari utilizzeranno ancora versioni precedenti di explorer, mai si inizia,però, mai si otterrà un completo cambiamento.


In secondo luogo si miglioreranno le prestazioni.
Come si può vedere dall'immagine alcuni risultati ottenuti usando SunSpider un popolare tool di benckman per java script mostrano come le performance con java script, siano testate in confronto con altri browser, usando un Dell optiplex, con processore Intel 3.0 GHz Dual Core e con sistema operativo Windows 7.



In terzo luogo più trasparenza nei confronti degli utilizzatori finali.
La microsoft ha,infatti, creato un sito dove si può testare l'anteprima di Internet explorer 9 ed in tal modo gli utenti e gli sviluppatori possono comunicare tutti i problemi avuti con gli standard HTML5 o CSS3 e si possono anche vedere i risultati relativi ai vari test, oltre al Sunspider, già citato, anche i risultati dei test acid3.


In quarto luogo si incoraggiano gli aiuti ed i suggerimenti di sviluppatori esterni.
Ad esempio Linux,Wordpress ed altri hanno sempre beneficiato dell'intelligenza e dell'esperienza di migliaia di sviluppatori open source.
Ora, uscendo da una situazione di chiusura, anche Internet Explorer presenta Developer Tools,una suite di strumenti di sviluppo che gli sviluppatori possono utilizzare e migliorare.


Infine, più affidabilità e discussione con gli utenti.
Il blog IE9 viene continuamente aggiornato e non si cercano di nascondere i problemi riscontrati.
Infatti la Microsoft era finora conosciuta per nascondere i problemi, come ad esempio, solo di recente i dirigenti della società hanno riconosciuto la necessità di aggiornare internet 6 a causa di falle sulla sicurezza.
Ma invece la storia con IE9 sembra tutta diversa, è stato ad esempio ammesso il sostegno al codec video standard H 264 e quando qualcosa va male, come ad esempio i problemi con le web app di Google o con Gmail, lo ammettono tranquillamente.
Molto probabilmente, IE9, non potrà competere con Firefox e Chrome ma la Microsoft, aprendosi alla base e contando sull'aiuto di sviluppatori esterni, sta compiendo il passo giusto che li porterà in futuro ad essere molto competitivi.