Menú principal

viernes, 25 de marzo de 2011

Hackers contra Apple: Charlie Miller y Dino Dai Zovi (4 de 4)

=======================================================================
=======================================================================

¿Puede Apple ofrecer sistemas seguros?

Mac & I: resumiéndolo todo, ¿crees que Apple tiene lo que se necesita para hacer informática segura para los usuarios? ¿Sólo necesitarían actualizar sus tecnologías, o es también una cuestión de actitud en su gestión hacia la seguridad?

Charlie Miller "jugando" con un iPhone
Charlie Miller: Apple es, sin duda, capaz de desarrollar un producto seguro, pero no han hecho el esfuerzo aún. Son una empresa de productos. Los nuevos y emocionantes productos se venden y hacen dinero con ellos, sin embargo con la seguridad no. Si examinamos el iPhone original, se vendió espectacularmente, pero la seguridad fue simplemente terrible.

Hay una percepción (que está cambiando lentamente) de que los productos de Apple son seguros. Supongo que Apple dice: ¿por qué gastar dinero en seguridad cuando ya están considerados seguros?. Tendrán que tener una crisis de seguridad como sucedió con Microsoft hace casi diez años para que Apple cambie. La seguridad debe afectar a su línea de flotación.

También se han hecho un poco a un lado porque han venido haciendo publicidad de características de seguridad como ASLR desde que Leopard salió hace cuatro años. ¿Cómo deberían de anunciar una seguridad adicional para Lion? "Lion tiene un ASLR que realmente funciona", o tal vez, "Lion ha cogido a Windows Vista en seguridad"?


Dino Dai Zovi: Si se comparan las características de seguridad de iOS frente a Mac OS X, se puede ver que Apple ha implementado varias funciones de seguridad por el interés en su negocio. Y en iOS, la mayoría de las características de seguridad están destinadas a proteger el modelo de negocio de Apple (iTunes Store) en lugar de los datos del usuario. Por supuesto, esto no es sólo de Apple, cada fabricante de software comercial hace lo mismo. La seguridad no les hace ganar dinero, la venta de productos si, por lo que sólo proporcionan el nivel mínimo de seguridad necesario para mantener a los clientes y que sigan comprando sus productos. No hay necesariamente nada de malo en ello.

Si miramos a los navegadores web, Google invierte el mayor esfuerzo en la seguridad de su navegador, Chrome. El modelo de negocio de Google es que se siga utilizando la Web, lo que requiere que los usuarios sigan confiando en la web con su tiempo y sus datos.

Dino Dai Zovi en una foto divertida
Como ellos son los que más pierden si los consumidores pierden la confianza en la Web, entonces gastan más dinero para garantizar que sea lo más seguro posible. La mayor parte de los esfuerzos de Google se emplean en las versiones Windows y Linux de Chrome, mientras que la versión de Mac OS X se beneficia de muchos de esos esfuerzos gratuitamente.

Mientras que Apple tenga como clientes principales a los usuarios de casa, y mientras estos estén a salvo del malware masivo dirigido a los consumidores para robarles la identidad y los datos bancarios, no hay mucho más que Apple necesite hacer.


Mac & I: Por cierto, cuando vas a buscar una vulnerabilidad en OS X, ¿tienes herramientas especiales a tu disposición, o tus "armas" están disponibles para los malos también?

Charlie Miller: Parte de la motivación de escribir el “Manual del Hacker de Mac” fue sacar toda nuestra experiencia al mundo, especialmente los buenos. Los malos tienden a saber esto ya. Nosotros damos charlas regularmente sobre cómo encontrar y explotar los errores, a menos que Dino tenga alguna salsa secreta que yo no sepa, todo nuestro conocimiento es público.

Dino Dai Zovi en una charla
Dino Dai Zovi: No hay realmente una magia o salsa secreta que se necesite para detectar las vulnerabilidades de seguridad de Mac. El "Manual del Hacker de Mac" muestra varias formas fructíferas: fuzzing, mirando los registros de cambio de software de terceros e ingeniería inversa. Personalmente, prefiero pasar mi tiempo de calidad en IDA Pro escribiendo fuzzers. Y ni siquiera tengo scripts mágicos que pueda utilizar, solo un proceso manual y metódico de lectura de binarios, renombrado de variables y funciones y desarrollar mi entendimiento de cómo funciona todo.

Además del libro que escribí con Charlie, también doy formación de hacking de Macs en las conferencias BlackHat con Vincenzo Lozzo. Cualquier persona interesada en aprender cómo encontrar vulnerabilidades en Mac OS X es bienvenido a nuestras clases.


Mac & I: …Parece que el hacking moderno es todavía un trabajo manual, como en los viejos tiempos. Todavía recuerdo como cambiar mi Apple//e's OS para aceptar comandos en minúsculas... Bueno, vamos a terminar esta entrevista con algo serio de verdad. ¿Por qué no participar en el desafío de Firefox como un equipo?

Dino Dai Zovi: Creo que Charlie ha demostrado bastante bien que él no necesita ninguna ayuda a ganar PWN2OWN ;). Me gusta ser el primero en conseguir un objetivo concreto en Pwn2Own. Fui el primero en adueñarme de un Mac en el Pwn2Own de 2007, así que no me siento como que necesito hacerlo otra vez. Me hubiera gustado haber sido el primero en adueñarse de un iPhone allí, pero Ralf-Philipp Weinmann y Vincenzo Lozzo ya me ganaron en esa pelea. Tal vez un año de estos aparezco con una sorpresa bajo la manga, pero no me esperen.

Charlie Miller: Ahora ¿por qué querría dar la mitad de mi dinero a Dino?

Mac & I: La última pregunta va para Charlie - Probablemente la pregunta que más te hacen: Lo harás de nuevo en Pwn2Own 2011, y si es así, ¿ya tienes un error que explotar? ¿Tal vez Safari 5?

Charlie Miller: No estoy seguro. Es realmente mucho esfuerzo y presión para un premio no demasiado grande. Creo que he probado las dos cosas que me dispuse a probar: que los productos de Apple no son perfectos en seguridad y que puedo escribir exploits.

El problema es que puedes tener un exploit y se puede haber parcheado una semana antes de la competición o alguien puede mostrarlo antes que el tuyo y no obtienes nada. Supongo que depende de las reglas de este año. Es una gran competición y se pasa muy bien. Y que si tengo un exploit en mi bolsillo, pues un caballero no discute de esas cosas, pero como yo no soy un caballero, entonces sí.

Nota de la traducción: En el Pwn2Onw ganó el equipo de Vupen con un exploit para Apple Safari 5.0.3 sobre Mac OS X Snow Leopard de 64 bits. Charlie Miller explotó con éxito una vulnerabilidad en iPhone con iOS 4.2 que le permitió ganar un premio.

=======================================================================
=======================================================================

No hay comentarios:

Publicar un comentario en la entrada

Artículos relacionados

Otras historias relacionadas

Entradas populares