移動Pwn2Own黑客大賽2016重裝上陣，這次為安全研究人員奉上的，是25萬美元的iPhone解鎖獎勵和25萬美元的安卓手機破解獎金。
今年年初，惠普企業(HPE)將零日計劃(ZDI)轉手賣給了趨勢科技，隨著贊助商的轉換，Pwn2Own大賽也經歷了一些改組。Pwn2Own大賽瀏覽器版已于今年3月由惠普和趨勢科技聯手舉辦。將于10月舉行的2016 移動Pwn2Own黑客大賽，則是首屆沒有HPE贊助的Pwn2Own。
趨勢科技漏洞研究高級經理布萊恩·戈倫茨說：“對我們而言，這依然是Pwn2Own。我們總是希望每次大賽都給我們帶來前所未見的新東西，但如果你已經見識過，其實大賽的本質總是相似的。”
溫哥華 CanSecWest 大會舉行的2016 Pwn2Own 瀏覽器大賽上，ZDI向公開演示Web瀏覽器新零日漏洞利用的研究人員派發了總計46萬美元的獎金。
本次移動Pwn2Own將于10月26-27日在東京的PacSec安全大會上舉行，獎金池總額高達50萬美元。2016移動大賽，ZDI希望研究人員針對3種特定的移動設備：蘋果 iPhone 6x，谷歌 Nexus 6p和三星 Galaxy Note7.
針對所有目標設備，ZDI給研究人員設置了幾項挑戰。第一項就是從設備獲取敏感信息。誰能突破iPhone或谷歌Nexus，獲取到這兩種手機上的敏感信息，就能得到5萬美元的獎勵。能從三星Galaxy上獲取敏感信息的研究人員將有3.5萬美元的入賬。
另一項挑戰就是在目標設備上安裝流氓應用。iPhone上安裝可得12.5萬美元獎勵，谷歌Nexus上可得10萬，三星Galaxy上可得6萬。
大賽期間，每臺手機的操作系統都會是最新的，會打上全部現有補丁。這或許會讓ZDI的研究人員在大賽前加班更新手機，但讓目標設備保持最新狀態才有意義。
所有目標設備都會啟用默認設置。對于iOS，這意味著Pwn2Own參賽者必須攻克Safari，因為Safari就是iOS的默認瀏覽器，也是該設備用戶最常見最真實的使用場景。過去，Pwn2Own參賽者演示過許多WebKit瀏覽器渲染引擎相關的漏洞。WebKit就是Safari背后的核心渲染引擎，且有許多組件至今仍在谷歌Chrome里使用。
每次大賽的威脅態勢都不一樣，很難預測那個組件會被當做目標。WebKit很可能有露臉，但期待看到一些新的技術和研究。
對于流氓應用安裝，ZDI沒有特別的要求，留給參賽者在公開演示階段充分展現創造力的空間。
解鎖iPhone
本次Pwn2Own競賽上最大的單項獎勵，會授予成功解鎖iPhone的研究人員。最近幾個月，解鎖iPhone一直是個熱點話題。據稱FBI花了130萬美元才繞過IPhone鎖屏。蘋果公司自己的漏洞獎勵項目設置了20萬的獎金，安全公司 Exodus Intelligence 則會為iOS零日漏洞付出50萬美元的獎金。
ZDI認為，為iPhone解鎖漏洞拿出25萬美元的獎勵是比較合適的。達成iPhone解鎖必然要付出大量的研究，這個數額的獎金不算太差。除了這筆錢，研究人員還會獲得贏下Pwn2Own的業界認可。
市場才是最終決定25萬美元的獎金是否公平的裁判。有人嘗試公開解鎖iPhone的前景還是很光明的。通過ZDI報告漏洞至少能讓漏洞切實得到廠家的修復，比其他的選擇要好。
京公網安備 11010502049343號