Opera o FireFox ?

Originariamente inviato da riazzituoi

Quindi il tempo impiegato per eseguire l'exploit non è correlabile con la facilità di bucare un browser (anche se sembra che Safari sia particolarmente predisposto ).

ciao riazzi, ecco questo è uno degli aspetti che cercavo di far passare nei miei post precedenti..ovvero non si può dare maggior risalto al tempo impiegato per eseguire la vulnerabilità piuttosto che alla maggiore o minore difficoltà nel bucare un software

Originariamente inviato da riazzituoi

Per quanto riguarda l'antivirus, il concorso è relativo alle falle dei browser, e non ai sistemi che impediscano di eseguire gli exploit in grado di sfruttare tali falle.

sono d'accordo, ti spiego meglio quello che intendevo dire...

un test per essere attendibile dovrebbe rispecchiare per quanto possibile la realtà...nel test, miller sapeva che non avrebbe incontrato un antivirus quindi creando l'exploit non si è preoccupato se fosse o meno rintracciabile facilmente da un antivirus...questo amplia la portata delle possibile soluzioni a sua disposizione

nella realtà però non avrebbe dovuto preoccuparsi solo di bucare il browser ma anche di superare un eventuale software di protezione installato ...quindi magari avrebbe scartato l'exploit che ha usato nel test perché facilmente rintracciabile...(faccio per fare un esempio)

[sampei.nihira]

Originariamente inviato da ShoShen

ciao sampei, questo aspetto del test non mi era chiaro, ti ringrazio di questa precisazione



però quello su cui in molti si sono soffermati (non mi riferisco ad utenti di hw ma più in generale parlo dei titoli che vengono fatti in questi casi) è stata la velocità con la quale i browser sono stati "bucati", lasciando credere che bastassero dai 5 ai 10 secondi per bucare un browser...quando in realtà questo aspetto non si riferisce al tempo per trovare la vulnerabilità ma solo a quello per metterla in atto...

in altre parole se miller avesse impiegato un mese per trovare una vulnerabilità in un browser e per attuarla ci vogliono 5 secondi , titolare firefox bucato in 5 secondi secondo me non rispecchia la realtà, questo perché si da all'utente un senso di "precarietà" che in realtà non ha motivo di essere

ti faccio un esempio, ammettiamo che qualcuno studi 1 anno per bucare un sito, generalmente considereremo questo sito sicuro visto il tempo impiegato per bucarlo...poi dopo un anno di studio trova una vulnerabilità che permette di bucarlo in pochi minuti ...parlare di sito compromesso in 1 minuto lascia credere che sia stata una passeggiata e che quel sito non sia adeguatamente protetto

capisco il tuo punto di vista, però consideriamo anche il fatto che non aggiunge nulla di nuovo a quello che già sapevamo...sappiamo che tutti i software sono soggetti a vulnerabilità, bug vari che vengono giornalmente risolti con update quotidiani...
in pratica questo test ci ha detto che firefox, ie e safari sono software soggetti a vulnerabilità (come qualsiasi altro software) ma non ci da indicazioni attendibili sulla loro reale solidità , almeno questo è il mio punto di vista

ps: azz quanto sto scrivendo in questo 3d

Mi chiamano per la cena,noi ceniamo veramente molto presto, quindi sarò breve nonostante ho letto quello che hai scritto.
Sai cosa sarebbe veramente interessante ?

A me interesserebbe sapere quali browser internet usano personalmente Nils e Miller........

Originariamente inviato da sampei.nihira

Mi chiamano per la cena,noi ceniamo veramente molto presto, quindi sarò breve nonostante ho letto quello che hai scritto.
Sai cosa sarebbe veramente interessante ?

A me interesserebbe sapere quali browser internet usano personalmente Nils e Miller........

sto andando a cena anche io posto solo per una precisazione di cui mi sono accorto solo ora (rileggendo il mio post)...quando dico "capisco il tuo punto di vista, però consideriamo anche il fatto che non aggiunge nulla di nuovo a quello che già sapevamo..." ovviamente non era inteso che il tuo punto di vista non aggiungeva nulla di nuovo, ma che il test fatto con questi requisiti non aggiunge nulla che non sapevamo al dibattito sui browser..in pratica mi riferivo a quello che avevo quotato (forse si capiva leggendo per intero il paragrafo) ...mi scuso nel caso fosse stato fraintendibile (non avevo riletto)

buona cena

[sampei.nihira]

Originariamente inviato da ShoShen

sto andando a cena anche io posto solo per una precisazione di cui mi sono accorto solo ora (rileggendo il mio post)...quando dico "capisco il tuo punto di vista, però consideriamo anche il fatto che non aggiunge nulla di nuovo a quello che già sapevamo..." ovviamente non era inteso che il tuo punto di vista non aggiungeva nulla di nuovo, ma che il test fatto con questi requisiti non aggiunge nulla che non sapevamo al dibattito sui browser..in pratica mi riferivo a quello che avevo quotato (forse si capiva leggendo per intero il paragrafo) ...mi scuso nel caso fosse stato fraintendibile (non avevo riletto)

buona cena

Grazie.

[sampei.nihira]

http://blogs.zdnet.com/security/?p=2941

Questa intervista, probabilmente, rivaluta Safari sotto Windows.

Ma soprattutto Chrome.


Gentilmente chi sà bene l'inglese potrebbe tradurla per tutti gli utenti ?
Io afferro 7 parole su 10 (quando và bene)......

[cloutz]

sto provando a tradurlo il più fedelmente possibile, anche se non in maniera letterale, quindi qualche espressione non sarà precisissima (ad ogni modo è un buon training per la traduzione di CIS).

cmq mi servirà un buon quarto d'ora - venti minuti

[riazzituoi]

.

[sampei.nihira]

Originariamente inviato da riazzituoi

In pratica dice che IE è il browser più facile da exploitare sotto Windows.

Safari e altri browser sono più facili da exploitare soto Mac.

Firefox insieme a Chrome sono i più difficili da exploitare sotto Windows.

(i motivi di ciò sono da ricercare nell'architettura dei rispettivi browser e non solo nei meccanismi di protezione della memoria messi a disposizione dall'OS)

Mi sembra, dal risultato della manifestazione, che possiamo concludere che, a default, Chrome sia più "un osso duro" di FF ?

da quanto mi pare di capire miller dice che per bucare Chrome che usa una specie di sandbox avrebbe bisogno di due bug uno per eseguire codice e uno per farlo uscire dalla sandboxie

[riazzituoi]

.

[cloutz]

ci provo, prendetela comunque molto alla buona come traduzione..è fatta di fretta


------------------------------------------------------------------------
"Vancouver, BC - Alla conferenza di sicurezza di CanSecWest, ho avuto la possibilità di sedermi con Charlie Miller, il ricercatore che forzò un MacBook, completamente patchato (aggiornato), usando una vulnerabilità di Safari nell'esecuzione di codice..

Noi abbiamo parlato riguardo la sicurezza dei Web Browser, la vulnerabilità di mercato e la necessità di "moduli" anti-exploit nei moderni sistemi operativi.

Ryan Naraine: Allora, cosa ci può dire sulla vulnerabilità?
Charlie Miller: Non molto. Come dicono le regole del contest, sono sotto NDA(??) riguardo i dettagli tecnici. Posso dirle che il computer (MacBook Air) era aggiornato. Era un exploit contro Safari 4 e funziona anche su Safari3. Io ho trovato questo bug prima del Pwn2Own dell'anno scorso ma, a quel tempo, era difficile da sfruttare. Sono arrivato a CanSecWest l'anno scorso con 2 bug ma un solo exploit. L'anno scorso si poteva vincere solo una volta, quindi ho conservato il secondo bug. Poi era ancora lì, così ho scritto un altro exploit e l'ho usato qst anno.

Funziona su Safari in Windows?
Non lo so. Non ci ho guardato.

Ha preso in considerazione l'idea di riportare la vulnerabilità alla Apple?
Io non ho mai ceduto bug gratuitamente. Ho una nuova idea. E' chiamata "niente più bug gratis". Le vulnerabilità hanno un valore di mercato e allora non ha senso lavorare sodo per trovare un bug, scrivere un exploit e darlo via. Apple paga le persone per fare lo stesso lavoro, così sappiamo che c'è un valore dietro questo lavoro.

Qual è il vaore di mercato di qual bug di Safari?
Era probabilmente più del prezzo che ho vinto (5000$). E' molto meno di quella di IE8 (exploitato da Nils) di circa una decina. Potrei prendere più di 5000 per quello, ma preferisco venire qui e mostrare cosa posso fare e avere un pò di titoli per la compagnia x cui lavoro.

Perchè safari?Perchè non vai oltre IE o safari?
é molto semplice. safari su mac è più facile da forzare. Quello che rende la cosa difficile sotto Win (per far andare a buon fine un exploit), Mac non ce l'ha. L'hacking sotto Mac è molto più facile. Non hai bisogno di saltare attraverso i cerchi (??) e combattere con tutti gli anti-exploit che troveresti in Windows.

[SEE]
Con il mio exploit per Safari, ho inserito del codice in un processo e so esattamente dove sta per andare. Non c'è nulla dato al caso (improvvisazione). So quando salto là, il codice è là e lo posso eseguire là(chi mi spiega cosa vuol dire??). Su Windows il codice può mostrarsi ma non so dove sia. Anche se ho il codice, non è eseguibile. Questi sono ostacoli che Mac non ha.
E' chiaro che tutti e 3 i browser hanno bug. L'esecuzione di codice buca qualunque cosa. Ma quello è solo metà dell'equazione. L'altra metà è il "forzamento" di esso. Non ci sono ostacoli da scavalcare in un Mac OS X.

Cos'è stato più difficile? Trovare i bug e scrivere l'exploit?
Cambia. Nel passato, è sempre stato difficile trovare bug ma una volta trovati era più faceile scrivere un exploit affidabile. Ora le softwarehouse si sono fatte furbe e hanno reso più difficile creare exploit. E' difficile trovare un buon bug oggi giorno ed anche più difficile riuscire a sfruttarlo e a ssuperare tutti gli ostacoli.
Per questo Dino Dai Zovi ed io siamo un buon team. Lui si specializza negli exploit e io posso concentrarmi nel ricercare buoni bug.

In una scala da uno a 10, quanto ha impressionato il fatto che Nils abbia forzato tutti e 3 i principali browser?
Ero sorpreso. Per IE8 gli darei un 9 su 10. Per Safari forse un 2. E' troppo facile superare safari. Per Firefox su Windows, gli darei un 10. Quello era il più impressionante dei3. E' molto difficile forzare FF su Win.

Davvero? qual'è la differenza tra quello che puoi fare con IE e non puoi con FF?
La tecnica che ha usato funziona contro IE ma non contro Firefox. Essa (la tecnica) ti permette di inserire codice in uno specifico punto della memoria. Mark Down e Alex Sotirov parlarono di questo al Black hat dell'anno scorso. Puoi usare una tecnica per fare in modo che il .net not opt into the mitigations(??) e saltare facilmente gli ostacoli. Con FF non puoi farlo.
Di tutti i browser sui OS, il target più difficile è FF su Windows. Con Firefox su Mac, puoi fare qualunque cosa tu voglia. Non c'è nulla nel sistema operativo Mac che te lo impedirà.

[...]

Google Chrome era l'obiettivo fissato. Sorpreso?
Ci sono bug in Chrome ma sono molto difficili da exploitare. Io ho una vulnerabilità di Chrome adesso, ma non so come sfruttarla. E' molto difficile. Loro hanno quel modello di sandbox da cui è difficile uscire. Con Chrome, è una combinazione di cose - non puoi eseguire sopra tutto, sopra le protezioni del OS in Win e la Sandbox.

[...]
Stanno migliorando i browser per una migliroe sicurezza degli utenti?
I browser sono così complessi, è impossibile far andare tutto bene. Con tutto quel codice e le dipendenze, è dura essere perfetti. Le persone dicevano 5 anni fa che i buffer overflows si sarebbero risolti. Bene, non lo sono stati. I Bug ci saranno sempre e così è un arduo movimento lavorare sugli anti-exploit.
I browser fanno un lavoro migliore che fornire avvertimenti visuali di phishing e siti infetti o SSL. Non è abbastanza ma è meglio che niente. Penso che quello che si vede oggi con Chrome e il sandboxing, quello è dove tutti dovranno andare. Ci vorrà qualche anno, ma quello dovrà essere lo standard."
-------------------------------------------------------------------------

Ho saltato alcuni articoli che parlavano di quanto l'avevano pagato..inutili ai fini di questo 3d
Ribadisco la traduzione fatta coi piedi, ma almeno io mi sono allenato con l'inglese per la traduzione CIS (poco a dir la verità) e magari qualcun'altro che nn conosce la lingua, che sarebbe tagliato fuori, ne può approfittare per intervenire...


Saluti

[sampei.nihira]

Grande.
Del resto l'argomento interessantissimo la "esigeva".

[cloutz]

Originariamente inviato da sampei.nihira

Del resto l'argomento interessantissimo la "esigeva".

[Stefy_MHR]

Ho provato entrambi i browser, preferisco di gran lunga firefox!
Ho installato anche noscript solamente che è abbastanza invasivo! Come potrei trammite le opzioni renderlo più "docile" per far si che molti siti funzionino a dovere?

[Anriel]

rimango a firefox,sinceramente non riuscirei a stare senza alcuni plugin.Attendo con ansia la nuova versione per vedere quale migliorie hanno apportato.Qualcuno di voi che ha la beta sa dirmi fino ad ora se ha notato vantaggi ?

[Stefy_MHR]

Originariamente inviato da Anriel

rimango a firefox,sinceramente non riuscirei a stare senza alcuni plugin.Attendo con ansia la nuova versione per vedere quale migliorie hanno apportato.Qualcuno di voi che ha la beta sa dirmi fino ad ora se ha notato vantaggi ?

Di che beta stai parlando?

[riazzituoi]

.

[sampei.nihira]

Originariamente inviato da riazzituoi

Intervista a Nils:
http://blogs.zdnet.com/security/?p=2951

Sembrerebbe che Firefox sia stato exploitato in Mac OS e non in Windows

Ah....tedesco il ragazzo.
Ma che tonti questi intervistatori nessuno che chiede:

"Quale browser lei preferisce usare ed in quale piattaforma ?"

Mah !!

P.S.

@ Tutti

Avrei un dubbio da chiedere a tutti.
Avevo inserito un 3D in Mondo Apple per informare gli utenti degli eventi della manifestazione.
Ovviamente qualche utente mi ha dato addosso.......

Secondo voi sarebbe ns dovere,oppure giusto, inserire per completezza, l'intervista di Nils in quel 3D ?

(Naturalmente io non lo faccio......)

Originariamente inviato da riazzituoi

Intervista a Nils:
http://blogs.zdnet.com/security/?p=2951

Sembrerebbe che Firefox sia stato exploitato in Mac OS e non in Windows

forse anche per via delle regole della competizione che incentivano a trovare una vulnerabilità nel modo più semplice e veloce possibile (se non ho capito male vince chi "buca" per primo un browser) quindi trovare un exploit su mac piuttosto che su windows credo sia più facile

edit: mi correggo, da quanto mi pare di capire non vince chi arriva per primo

[riazzituoi]

.