Pwn2Own Contest : Tous les navigateurs crackés, sauf Chrome, mais ça ne veut rien dire
Des professionnels qui s'acharnent à prendre le contrôle d'une machine à partir d'une faille de navigateur : tel est le contexte du Pwn2Own Context, en mars dernier, au Canada.
Attention, ces pros de la faille ne débarquent pas les mains vides. La plupart ont déjà sous le coude leur programmes, pages web, morceau de flash ou javascript qu'ils améliorent continuellement et protégent jalousement des regards.
Charlie Miller (à gauche) et Nils (à droite) (Credit: TippingPoint DVLabs)
En effet, ces hackeurs que l'on pourrait assimiler à des chercheurs en sécurité, peuvent tirer de ces failles une gloire personnelle ou une rémunération. Tout dépend du contexte dans lequel ils dévoilent leur méthode de hack.
Par exemple, une faille découverte sur un navigateur peu répandu (Opéra, Chrome) sera faiblement monétisé. Mais si la faille est une simple page web, ou un petit morceau de javascript bien ficellé, elle peut faire couler beaucoup d'encre et donner un coup de projecteur sur le hacker. Mais c'est tout.
Par contre, une faille découverte sur un navigateur très répandu (Internet Explorer) attirera plus l'attention et pourra être vendue beaucoup plus chère (plusieurs dizaines de milliers de dollars).
Ainsi, selon le navigateur, l'enjeu pécunier n'est pas le même. D'ailleurs le concours Pwn2Own n'offre aucune somme pour des failles découvertes sur Opéra ! Ce navigateur (pourtant répandu dans le monde mobile) est donc délaissé par les hackeurs... et dans une moindre mesure, Chrome aussi. Les hackeurs qui recherchent l'argent (les plus nombreux) se concentrent sur IE et Firefox...
Alors, quid du résultat du Pwn2Own Contest ? Tous les navigateurs ont pu être crackés, sauf Chrome ? Oui, c'est une info, mais ne généralisons pas. Ceci n'est pas un test de sécurité des navigateurs.
C'est juste une bande de gars talentueux qui s'archarnent sur quelques navigateurs dont ils ont la prédilection. Ne réduisons pas la notion de sécurité des utilisateurs, beaucoup plus complexe, au résultat de ce genre de concours.
