« En moins de cinq minutes, le duo Vincenzo Iozzo et Ralf-Philipp Weinmann avait trouvé la faille de l'iPhone, » a déclaré un porte-parole de 3Com TippingPoint, une entreprise spécialisée dans la sécurité informatique qui parraine le concours. Cet exploit leur a valu de remporter le prix de 15.000 dollars en espèces, un montant record pour un tel défi dans cette manifestation dont c'est la quatrième édition cette année.

Iozzo, un étudiant italien, travaille pour Zynamics GmbH, une société dirigée par le fameux chercheur Thomas Dullien, plus connu sous le nom de Halvar Flake. Quant à Weinmann, il est chercheur post-doctorant au Laboratoire d'Algorithmes, de Cryptologie et de sécurité de l'Université de Luxembourg. Weinmann s'était déjà fait connaître en 2007 pour avoir montré avec son équipe comment casser le protocole de sécurité WEP qui protège les réseaux Wi-Fi, beaucoup plus rapidement que ce que l'on croyait possible auparavant.

10 000 dollars pour avoir réussi
à craquer MacOS X 10.6.2

C'est Charlie Miller, un analyste de Baltimore travaillant pour une entreprise indépendante spécialisée dans l'évaluation de la sécurité informatique, qui a fait tomber Safari sur un MacBook Pro tournant sous Snow Leopard (MacOS X 10.6) L'an dernier, il s'était déjà illustré en craquant Safari en 10 secondes seulement. En 2008 et 2009, Charlie Miller a également remporté des prix pour avoir réussi à pirater un Mac. Cette année, il repartira avec un ordinateur portable et 10,000 dollars en espèces. Il est aussi le premier participant à avoir gagné trois de fois de suite à ce concours !

[[page]]

Peter Vreugdenhil, un chercheur hollandais en sécurité, et nouveau participant à Pwn2Own, n'est pas venu pour rien. En effet, il a réussi à exploiter une vulnérabilité de IE8 sous Windows 7 avec un code d'attaque jugé «techniquement impressionnant» par TippingPoint : « il est parvenu à contourner le mécanisme de sécurité identifié sous le nom de Data Execution Prevention ou DEP du système d'exploitation, et spécifiquement chargé d'arrêter la plupart des attaques. » Comme Charlie Miller, Peter Vreugdenhil, a gagné un prix de 10.000 dollars. Nils, étudiant allemand en informatique et ancien lauréat, a reçu cette année 10.000 dollars pour avoir réussi à pirater Firefox de Mozilla sous Windows 7. Parmi les navigateurs désignés pour cibles par le concours, seul Chrome de Google a tenu au delà de la première journée.

Un business fructueux pour l'organisateur

TippingPoint ne révèle aucun détail sur les vulnérabilités mises à jour pendant le Pwn2Own. Dans le cadre du concours, l'entreprise rachète les droits d'exploitation du code et traite ensuite avec les éditeurs concernés, qui envoient tous des représentants sur place. Souvent, les vendeurs ne tardent pas à sortir les patchs qui corrigent les vulnérabilités découvertes. En 2008 par exemple, trois semaines à peine après que Charlie Miller fasse tomber Safari, Apple livrait son correctif. Mozilla a battu ce record l'année dernière, mettant à jour Firefox une semaine seulement après la faille découverte par Nils sur son navigateur.

 

TippingPoint divulgue la nature de chaque faille quand le vendeur a fini de colmater ses brèches.

Â