Al Pwn2Own cadono tutti i browser, ma è Internet Explorer ad avere la peggio

Il Pwn2Own è ormai una ricorrenza annuale in cui vari ricercatori di sicurezza vengono lasciati a briglie sciolte con l'obiettivo di scoprire quante più falle di sicurezza all'interno di alcuni software fra i più diffusi. All'evento partecipano anche molte società del settore, come Google, Microsoft, Apple e Mozilla, che spartiscono ingenti premi per l'individuazione e l'eventuale correzione di suddette vulnerabilità.

Fonte: YouTube

Si tratta di una pratica che normalmente richiede giorni di lavoro, talvolta anche settimane o mesi, ma che gli impavidi ricercatori al Pwn2Own devono portare a termine in trenta minuti. Trenta minuti in cui devono valicare le difese di un browser o un software e dimostrare l'hack arrivando per primi fra tutti i partecipanti. Quest'anno l'ammontare dei premi è stato di 557 mila dollari, con la metà vinta da un solo uomo.

Parliamo del coreano Jung Hoon Lee, l'unico a riuscire a penetrare le difese di Chrome e ad eseguire e dimostrare altri due bug su Internet Explorer e Safari. La scoperta della falla su Chrome gli è valsa da sola un premio di 110 mila dollari, una cifra particolarmente consistente perché coinvolgeva anche una versione in beta del browser. Rivelato in una presentazione di due minuti, il bug di Chrome ha permesso a Lee di guadagnare 916 dollari al secondo.

Alla fine del contest, tutti i bug scoperti vengono discussi in privato con le società coinvolte all'interno della "Chamber of Disclosures". Il Pwn2Own non è infatti solo una manifestazione per dimostrare le proprie abilità, ma anche un'opportunità per rendere il software dei nostri sistemi più sicuro, stabile ed affidabile. Tirando le somme, quest'anno sono stati trovati 21 bug: cinque su Windows, quattro su Internet Explorer, tre su Firefox, Adobe Reader e Flash, due su Safari e uno su Chrome.

Chrome si rivela ancora una volta il software per la navigazione del web più sicuro, con Internet Explorer e Firefox che si spartiscono le ultime posizioni. Un epilogo che ricorda gli esiti degli scorsi anni e che conferma nuovamente le qualità del browser di Google, nato con la sicurezza in mente grazie al sandboxing dei processi ed altre funzionalità sviluppate per rendere il codice il più affidabile possibile.

Un approccio che seguiranno anche gli altri big del settore: Microsoft ha già segnalato che su Windows 10 il browser nativo non sarà più Internet Explorer, ma Spartan, mentre nei piani di Mozilla c'è il passaggio al nuovo linguaggio di programmazione proprietario Rust, ancora in fase di sviluppo e che probabilmente non vedrà la luce prima di qualche anno.