Na blogu http://blogs.zdnet.com/ ukaza� si� wywiad z Charlie Millerem, naukowcem i zwyci�zcom Pwn2Own. Poruszono w nim bezpiecze�stwo przegl�darek internetowych.

Miller wykorzysta� dziur� w Safari, gdy� na na Maci naj�atwiej jest szuka� dziur. Wykry� on dwa b��dy, jeden wykorzysta� w zesz�ym roku, a drugi trzyma� w tajemnicy na tegoroczny konkurs. Niestety nie ujawni� on samej techniki, gdy� prowadzi on kampani� "No More Free Bugs", w kt�rej za znalezienie luki trzeba p�aci�. Twierdzi, �e nie ma sensu wk�ada� ogromu prac i nie dostawa� za to pieni�dzy. Jego praca zosta�a tutaj wyceniona na 5000 dolar�w.

Samo hakowanie na MACa oceni� jako proste, dzi�ki braku funkcji randomizuj�cych (losowych) po�o�enie kodu w pami�ci. Tutaj po wstrzykni�ciu kodu, wie on, gdzie dany kod si� znajduje, dzi�ki czemu jest w stanie go wykona�. W Windowsie sprawa nie jest ju� taka prosta.

Powiedzia� tak�e, �e kiedy� znalezienie luki by�o najtrudniejszym zadaniem. Dzisiaj ci�ko jest j� znale��, ale jeszcze ci�ej j� wykorzysta�.

Oceni� on tak�e trudno�� �amania przegl�darek w ataku Nilsa. Tutaj 10/10 punkt�w daje za z�amanie Firefoxa na Windowsie. Na MACu z Firefoxem mo�na zrobi� wszystko, ale nie jest ju� tak pod Windowsem. Ta wersja przegl�darki jest najci�sza do z�amania. Za Internet Explorer da� mu 8/10, a za Safari na Macu tylko 2.

Wracaj�c do cen za wykryte luki, by� on mocno zdziwiony, �e Nils za luki wzi�� 5 tysi�cy dolar�w za jeden b��d. Za IE powinien on wzi�� 50000 $, gdy� w czasie sprz�dzonym na jej szukanie, m�g� znale�� 10 b��d�w w Safari.
Co do Google Chrome, stwierdzi�, �e istniej� na ni� luki, ale s� ci�kie do wykorzystania. Sam ma ju� jedn�, ale nie wie jeszcze co z ni� da si� zrobi�. Wszystko przez sandbox i niemo�liwo�� wykonywania kodu na stercie. Mo�na mie� b��d i by� w stanie wykonywa� kod, ale poprzez sandbox nie ma si� do tego uprawnie�. Trzeba mie� drugi b��d, aby wyj�� z piaskownicy.

Co do kwestii samego bezpiecze�stwa, stwierdzi�, �e przegl�darki staj� si� tak z�o�one, �e coraz trudniej nad nimi b�dzie zapanowa�, a zatem ci�gle b�d� znajdowane kolejne dziury. W ko�cu i 5 lat temu stwierdzono, �e b��dy przepe�nienia bufora s� rozwi�zane, a one nadal wyst�puj�. Przegl�darki zapewniaj� wizualne ostrze�enia o phishingu oraz zapewniaj� jak�� ochron� przed z�o�liwym oprogramowaniem, ale to nie wystarczy. Takie rzeczy jak sandbox pojawi� si�, ale to kwestia kilku lat zanim stan� si� norm�.