Hack2Own PHDays 2012 के लिए विस्तृत नियम

कम और कम समय के लिए पॉजिटिव हैक डेज़ 2012 तक छोड़ दिया जाता है, जिसमें ऑनलाइन प्रतियोगिता आयोजित की जाती है। हालांकि, डिजिटल अक्टूबर प्रौद्योगिकी केंद्र में मंच साइट पर बहुत सारी दिलचस्प चीजें भी होंगी। प्रतियोगिता कार्यक्रम के मुख्य आकर्षण में से एक पौराणिक Hack2Own प्रतियोगिता होगी।

2011 में, उस समय विंडोज के लिए सफारी इंटरनेट ब्राउज़र के नवीनतम संस्करण में शून्य-दिन भेद्यता (CVE-2011-0222) का प्रदर्शन करते हुए , CISSRT के प्रतिनिधि निकिता तारकानोव और अलेक्जेंडर बाजनुक , Hack2Own प्रतियोगिता के विजेता बने, जिन्होंने मुख्य पुरस्कार प्राप्त किया - एक लैपटॉप और एक लैपटॉप। 50 हजार रूबल इस साल, प्रतियोगिता बजट में काफी वृद्धि हुई है और यह 20,000 डॉलर से अधिक की राशि होगी। विजेताओं के पास नए मामलों को भरने के लिए कुछ होगा :)


प्रतियोगिता को तीन श्रेणियों में विभाजित किया गया है: ब्राउज़र की कमजोरियों का शोषण, मोबाइल उपकरणों की कमजोरियों का शोषण और कर्नेल स्तर की कमजोरियों का शोषण। कटौती के तहत, प्रतियोगिता में भाग लेने के लिए विस्तृत नियम।

चेतावनी! प्रतियोगिता में भाग लेने के लिए आपको लैपटॉप की आवश्यकता होती है ।

हमें इसकी आवश्यकता क्यों है?

हम सिर्फ दुनिया को सुरक्षित जगह बनाना चाहते हैं। हम कमजोरियों के बारे में जानकारी का खुलासा करने के लिए एक जिम्मेदार दृष्टिकोण बनाए रखने का प्रयास करते हैं। इसलिए, प्रतियोगिता में एक महत्वपूर्ण शर्त शामिल है: प्रतिभागी को सॉफ़्टवेयर निर्माता को 6 महीने के भीतर भेद्यता का पता लगाने के क्षण से इसके बारे में सूचित करना चाहिए।

हैकिंग वेब ब्राउजर: प्रतियोगिता नियम

प्रत्येक दौर में, इनमें से एक ब्राउज़र पर हमला किया जाता है; प्रतियोगिता के आयोजक प्रतिभागी द्वारा दिए गए लिंक का अनुसरण करते हैं। एक राउंड वेक्टर प्रति राउंड की अनुमति है। पहले राउंड में सफलता हासिल करने के बाद - प्रतिभागी पहले स्थान पर, दूसरे या तीसरे दौर में - क्रमशः दूसरा और तीसरा स्थान लेता है। सफलता मानदंड एक दूरस्थ ग्राहक हमले के माध्यम से ऑपरेटिंग सिस्टम में आवेदन की भागीदार द्वारा नियंत्रित लॉन्च है।

आयोजकों ने उपयोग की गई भेद्यता के प्रकार और इसके दोहन के लिए शर्तों (उपयोगकर्ता हस्तक्षेप की आवश्यकता, हमलों के विकास को सीमित करने और CVSS मनोविज्ञान के अनुसार जोखिम की डिग्री को प्रभावित करने वाली अन्य शर्तों) के आधार पर प्रतिभागी की रेटिंग को कम करने का अधिकार सुरक्षित रखा है।

सॉफ्टवेयर ऑपरेशन के लिए पेशकश की

एक दौर: Microsoft इंटरनेट एक्सप्लोरर 9, Google क्रोम 19.0.1084, मोज़िला फ़ायरफ़ॉक्स 12।

राउंड दो: Microsoft इंटरनेट एक्सप्लोरर 8/9, मोज़िला फ़ायरफ़ॉक्स 10/11/12, Google Chrome 16/17/18/19, ओपेरा 11/12, ऐप्पल सफारी 5.0 / 5.1.1 / 5.1.2।

तीसरे दौर में, ब्राउज़रों के लिए विशिष्ट तृतीय-पक्ष घटकों के नवीनतम संस्करणों को संचालित करने की अनुमति दी गई है: एडोब फ्लैश प्लेयर (11.2.202.235), एडोब रीडर (10.1.3), जावा (7 अपडेट 4)। ब्राउज़रों की सूची दूसरे दौर के समान है।

प्लेटफॉर्म का इस्तेमाल किया

पहला राउंड विंडोज 7 सर्विस पैक 1 (x64) है। दो और तीन: विंडोज 7 सर्विस पैक 1 (x64 / x86) और Windows XP SP3 (x86)।

सहभागिता की शर्तें

प्रतियोगिता उन विशेषज्ञों के लिए खुली है जिनके पास पहले से पंजीकृत है। आवेदन phdcontests@ptsecurity.ru पर स्वीकार किए जाते हैं । पंजीकरण की अंतिम तिथि 28 मई, 2012 है। आवेदन में प्रतिभागी का नाम, ब्राउज़र के नाम को हमले के लक्ष्य के रूप में, हमले के वेक्टर का उपयोग करना चाहिए। प्रतियोगिता आयोजकों ने आवेदन को अस्वीकार करने का अधिकार सुरक्षित रखा है यदि प्रतिभागी उन मामलों में उनकी क्षमता की पुष्टि नहीं करता है जो प्रतियोगिता का विषय हैं।

पुरस्कार

मैं जगह - 137,000 रूबल।
द्वितीय स्थान - 75 137 रूबल।
तृतीय स्थान - 50 137 रूबल।

इस घटना में कि कई प्रतियोगी एक निश्चित स्थान के लिए दावा करते हैं, विजेता की पहचान शोषण की तकनीकी विशेषताओं (शोषण जटिलता, स्थिरता, आदि) के एक विशेषज्ञ मूल्यांकन के माध्यम से की जाती है।

प्रतियोगिता प्रतिभागियों के लिए पॉजिटिव हैक डेज़ फोरम की सभी घटनाओं में उपस्थिति निःशुल्क है।

तकनीकी विवरण

सॉफ़्टवेयर संस्करणों पर अंतिम निर्णय जो प्रतियोगिता के लिए उपयोग किया जाएगा, घटना से पहले दो सप्ताह से कम नहीं किया जाता है। प्रासंगिक जानकारी PHD मंच की वेबसाइट www.phdays.ru पर प्रकाशित होती है । भेद्यता के दोहन के प्रत्येक प्रयास के बाद, ऑपरेटिंग सिस्टम को उसकी मूल स्थिति में बहाल कर दिया जाता है। हमले को अंजाम देने के लिए आवश्यक सभी सॉफ्टवेयर, प्रतिभागी स्वतंत्र रूप से चयन और उपयोग करता है। प्रत्येक भागीदार को एक वायर्ड या वायरलेस नेटवर्क के कनेक्शन के साथ प्रदान किया जाता है।

हैकिंग मोबाइल डिवाइसेस: नियम

एक डिवाइस पर एक हमला एक राउंड वेक्टर का उपयोग करके एक दौर में किया जाता है; प्रतियोगिता के आयोजक प्रतिभागी द्वारा दिए गए लिंक का अनुसरण करते हैं। पहले राउंड में सफलता हासिल करने के बाद - प्रतिभागी पहले स्थान पर, दूसरे या तीसरे दौर में - क्रमशः दूसरा और तीसरा स्थान लेता है। भेद्यता के दोहन के प्रत्येक प्रयास के बाद, ऑपरेटिंग सिस्टम को उसकी मूल स्थिति में बहाल कर दिया जाता है। सफलता मानदंड एक दूरस्थ नेटवर्क हमले का संचालन करके डिवाइस पर आवेदन का भागीदार-नियंत्रित लॉन्च है।

आयोजकों ने उपयोग की गई भेद्यता के प्रकार और इसके दोहन के लिए शर्तों (उपयोगकर्ता हस्तक्षेप की आवश्यकता, हमलों के विकास को सीमित करने और CVSS मनोविज्ञान के अनुसार जोखिम की डिग्री को प्रभावित करने वाली अन्य शर्तों) के आधार पर प्रतिभागी की रेटिंग को कम करने का अधिकार सुरक्षित रखा है।

सहभागिता की शर्तें

पूर्व-पंजीकृत प्रतिभागियों को प्रतियोगिता में भाग लेने की अनुमति है। आवेदन phdcontests@ptsecurity.ru पर स्वीकार किए जाते हैं । पंजीकरण की अंतिम तिथि 28 मई, 2012 है। आवेदन में प्रतिभागी के नाम, हमले के लक्ष्य के रूप में चयनित ऑपरेटिंग सिस्टम, डिवाइस का प्रकार (टैबलेट या स्मार्टफोन) और योजनाबद्ध हमले के वेक्टर को दर्शाया जाना चाहिए। प्रतियोगिता आयोजकों ने आवेदन को अस्वीकार करने का अधिकार सुरक्षित रखा है यदि प्रतिभागी उन मामलों में उनकी क्षमता की पुष्टि नहीं करता है जो प्रतियोगिता का विषय हैं।

पुरस्कार

मैं जगह - 137,000 रूबल।
द्वितीय स्थान - 75 137 रूबल। + iPhone 4S
तृतीय स्थान - 50 137 रूबल।

इस घटना में कि कई प्रतियोगी एक निश्चित स्थान के लिए दावा करते हैं, विजेता की पहचान शोषण की तकनीकी विशेषताओं (शोषण जटिलता, स्थिरता, आदि) के विशेषज्ञ मूल्यांकन के माध्यम से की जाती है।

प्रतियोगिता प्रतिभागियों के लिए पॉजिटिव हैक डेज़ फोरम की सभी घटनाओं में उपस्थिति निःशुल्क है। इसके अलावा, सभी प्रतिभागियों को मंच के आयोजकों, पॉजिटिव टेक्नोलॉजीज और इवेंट के प्रायोजकों से बहुमूल्य पुरस्कार और उपहार प्राप्त होंगे।

प्लेटफॉर्म का इस्तेमाल किया

एक राउंड: iOS 5.1.1 या एंड्रॉइड 4.0.4 के साथ एक टैबलेट या स्मार्टफोन।

राउंड दो: आईओएस 5.1.1 या एंड्रॉइड 4.0.4 + लोकप्रिय तीसरे पक्ष के सॉफ़्टवेयर के साथ एक टैबलेट या स्मार्टफोन (प्रतियोगिता के लिए पंजीकरण करते समय आयोजकों के साथ चर्चा की गई)।

राउंड थ्री: iOS 5.0 वाला टैबलेट या स्मार्टफोन, Android 3.0 वाला टैबलेट, Android 2.3 वाला स्मार्टफोन।

तकनीकी विवरण

प्रतियोगिता के लिए उपयोग किए जाने वाले सॉफ़्टवेयर संस्करणों पर अंतिम निर्णय घटना से दो सप्ताह से पहले नहीं किया जाता है (इस बारे में जानकारी फोरम की वेबसाइट PHDays पर प्रकाशित होती है )। प्रतियोगिता में भाग लेने के लिए, उपकरणों का उपयोग मानक कॉन्फ़िगरेशन "बॉक्स से बाहर" में किया जाता है - नेटवर्क कनेक्शन के आयोजन के लिए आवश्यक सेटिंग्स के अपवाद के साथ। भेद्यता के दोहन के प्रत्येक प्रयास के बाद, डिवाइस रिबूट होता है और अपनी प्रारंभिक स्थिति में लौटता है।

एक सामान्य हमला वेक्टर डिवाइस के मानक ब्राउज़र के माध्यम से एक विशेष रूप से गठित साइट पर जाने के लिए है। अन्य हमले वैक्टर (एसएमएस या एमएमएस प्राप्त करना, ईमेल देखना आदि) का उपयोग करने के मामले में, प्रतिभागी पंजीकरण के दौरान आवेदन में यह इंगित करता है।

प्रतिभागी स्वतंत्र रूप से हमले को अंजाम देने के लिए आवश्यक सभी सॉफ्टवेयर और हार्डवेयर का चयन करता है और उसका उपयोग करता है। प्रत्येक भागीदार को एक वायर्ड या वायरलेस नेटवर्क के कनेक्शन के साथ प्रदान किया जाता है।

कर्नेल-स्तरीय भेद्यता शोषण: प्रतियोगिता नियम

प्रत्येक प्रतिभागी को ऑपरेटिंग सिस्टम में कर्नेल-स्तर की भेद्यता के शोषण को प्रदर्शित करने का अवसर मिलता है। आवेदक द्वारा प्रस्तावित शोषण से वंचित उपयोगकर्ता को सिस्टम में अपने विशेषाधिकारों को सुपरस्टार के स्तर तक बढ़ाने का अवसर देना चाहिए।

प्रत्येक दौर में, इन प्लेटफार्मों में से एक पर हमला किया जाता है; प्रतियोगिता के आयोजकों ने प्रतिभागी द्वारा प्रदान की गई एक निष्पादन योग्य फ़ाइल लॉन्च की। एक राउंड वेक्टर प्रति राउंड की अनुमति है। पहले राउंड में सफलता हासिल करने के बाद - प्रतिभागी पहले स्थान पर, दूसरे या तीसरे दौर में - क्रमशः दूसरा और तीसरा स्थान लेता है। सफलता मानदंड एक अप्रभावी उपयोगकर्ता से सिस्टम में अधिकतम संभव के प्रतिभागी के विशेषाधिकार स्तर में बदलाव है। आयोजकों ने उपयोग की गई भेद्यता के प्रकार और इसके दोहन के लिए शर्तों (उपयोगकर्ता हस्तक्षेप की आवश्यकता, एक हमले के विकास को सीमित करने और सीवीएसएस के अनुसार जोखिम की डिग्री को प्रभावित करने वाली अन्य शर्तों) के आधार पर प्रतिभागियों की रेटिंग को कम करने का अधिकार सुरक्षित रखा है।

प्लेटफॉर्म का इस्तेमाल किया

एक दौर:

• विंडोज 7 सर्विस पैक 1 (x64);
• विंडोज सर्वर 2008 SP2 (x64);
• डेबियन लिनक्स 3.3.5;
• फ्रीबीएसडी 9.0;
• ओपनबीएसडी 5.1;
• ओएस एक्स 10.7.4।

दूसरा दौर:

• विंडोज 7 सर्विस पैक 1 (x86);
• विंडोज सर्वर 2003 SP2;
• Windows XP SP3 (x86);
• डेबियन लिनक्स 2.6.32-45;
• फ्रीबीएसडी 8.0;
• ओपनबीएसडी 5.0;
• ओएस एक्स 10.7.1।

तीसरा राउंड: प्लेटफ़ॉर्म का सेट पहले राउंड के लिए समान है। एक लोकप्रिय तृतीय-पक्ष सुरक्षा सॉफ़्टवेयर (एंटीवायरस, HIPS, आदि) का उपयोग करना संभव है (प्रतियोगिता के लिए पंजीकरण करते समय आयोजकों के साथ चर्चा की गई)।

सहभागिता की शर्तें

प्रतियोगिता उन विशेषज्ञों के लिए खुली है जिनके पास पहले से पंजीकृत है। आवेदन phdcontests@ptsecurity.ru पर स्वीकार किए जाते हैं । पंजीकरण की अंतिम तिथि 28 मई, 2012 है। आवेदन को प्रतिभागी का नाम और मंच को हमले के लक्ष्य के रूप में चुना जाना चाहिए। प्रतियोगिता आयोजकों ने आवेदन को अस्वीकार करने का अधिकार सुरक्षित रखा है यदि प्रतिभागी अपनी क्षमता की पुष्टि नहीं करता है।

पुरस्कार

मैं जगह - 75,000 रूबल।
द्वितीय स्थान - 50 000 रूबल।
तृतीय स्थान - 30 000 रूबल।

इस घटना में कि कई प्रतियोगी एक निश्चित स्थान के लिए दावा करते हैं, विजेता की पहचान शोषण की तकनीकी विशेषताओं (शोषण जटिलता, स्थिरता, आदि) के विशेषज्ञ मूल्यांकन के माध्यम से की जाती है।

प्रतियोगिता प्रतिभागियों के लिए पॉजिटिव हैक डेज़ फोरम की सभी घटनाओं में उपस्थिति निःशुल्क है।

तकनीकी विवरण

सॉफ़्टवेयर संस्करणों पर अंतिम निर्णय जो प्रतियोगिता के लिए उपयोग किया जाएगा, घटना से पहले दो सप्ताह से कम नहीं किया जाता है (सूचना PHDays फोरम वेबसाइट पर प्रकाशित की जाती है )। भेद्यता के दोहन के प्रत्येक प्रयास के बाद, ऑपरेटिंग सिस्टम को उसकी मूल स्थिति में बहाल कर दिया जाता है। हमले का संचालन करने के लिए आवश्यक सभी सॉफ़्टवेयर, प्रतिभागी स्वतंत्र रूप से चयन और उपयोग करता है।

जिम्मेदारी से जानकारी के प्रकटीकरण के लिए, आप कर सकते हैं:

• सॉफ़्टवेयर डेवलपर से संपर्क करें और उसे मिली कमजोरियों के विस्तृत विवरण के साथ सीधे प्रदान करें;
• CERT को भेद्यता की जानकारी देना;
• UpSploit के माध्यम से भेद्यता सूचना प्रसारित करना ;
• जीरो डे इनिशिएटिव में, उदाहरण के लिए, कमजोरियों के लिए आधिकारिक इनाम कार्यक्रमों में से एक में भाग लेकर कमजोरियों का विवरण दें।