Google Chrome की सुरक्षा को मजबूत करता है, पुरस्कार बढ़ाता है और $ 2 मिलियन फंड प्रतियोगिता की घोषणा करता है

किसी तरह हैबर के लिए चुपचाप गूगल क्रोम 21 की रिहाई थी, जिसमें क्रोमियम परियोजना के डेवलपर्स ने ब्राउज़र वितरण में एकीकृत एडोब फ्लैश प्लेयर रनटाइम की सुरक्षा में वृद्धि की घोषणा की। इसके अलावा, Google प्रबंधन ने पहचान की कमजोरियों के लिए क्रोमियम समुदाय के प्रतिनिधियों को पुरस्कार में वृद्धि की घोषणा की, और ब्राउज़र हैकिंग को प्रदर्शित करने के लिए एक प्रतियोगिता के शुभारंभ की भी घोषणा की। पुरस्कार राशि $ 2 मिलियन के बार में सेट की गई है, और अधिकतम इनाम $ 60 हजार है।

एडोब फ़्लैश प्लेयर

अगस्त 2009 में, Google ने प्लग-इन को सक्षम करने के लिए एक नई परियोजना - काली मिर्च प्लग-इन शुरू करने की घोषणा की। यह इंटरफ़ेस Google, NPAPI तंत्र के अनुसार पुराने को प्रतिस्थापित करने वाला था। Google की संभावनाओं का सार प्रक्रियाओं के पृथक्करण और पूर्ण क्रॉस-प्लेटफ़ॉर्म मॉड्यूल के कारण अधिक स्थिर संचालन के रूप में वर्णित है। मोज़िला ने इस उद्यम को छोड़ दिया , और खोज दिग्गज ने लगातार अपनी रेखा को झुका दिया। 2010 में, PPAPI के लिए समर्थन क्रोम में ही लागू किया गया था, और इस वर्ष के अगस्त में, दो मॉड्यूल पूरी तरह से इस इंटरफ़ेस के तहत काम करते हैं - एडोब फ्लैश और पेपर पीडीएफ रीडर।

सबसे बड़ी समस्या फ्लैश का कारण बनी। सबसे पहले, PPAPI- आधारित मॉड्यूल का विकास स्वयं Adobe द्वारा किया जाना चाहिए था, लेकिन Google को सुरक्षा का अनुकूलन और सुनिश्चित करना होगा। इसने विकास को काफी जटिल कर दिया, जिसके परिणामस्वरूप बहुत अधिक कार्य और समझौता हुआ। Google की मुख्य प्राथमिकता सैंडबॉक्स में पोर्ट प्लगइन निष्पादन है। और यदि Chrome टीम केवल एक OS पर काम करती है, तो इससे कोई समस्या नहीं होगी, लेकिन यह देखते हुए कि Chrome 3 प्लेटफार्मों (GNU / Linux, OS X और MS Windows) और पूरे चिड़ियाघर सिस्टम पर काम करता है, इसने बहुत सारे नुकसान पैदा किए जिसे सफलतापूर्वक पूरा किया गया: अगस्त में सभी GNU / Linux और Windows सिस्टम के सभी उपयोगकर्ताओं को Flash Player सैंडबॉक्स फ्रेमवर्क में मिलता है। डेवलपर्स को इस तथ्य पर विशेष रूप से गर्व है कि विंडोज एक्सपी का उपयोग करने वाले एक मिलियन क्रोम उपयोगकर्ता एएसएलआर और एमआईसी जैसी महत्वपूर्ण सुरक्षा प्रौद्योगिकियों की कमी के बारे में शांत हो सकते हैं, जो केवल विंडोज विस्टा में घोषित किए गए थे। सैंडबॉक्स का उपयोग करना वस्तुतः फ्लैश प्लेयर मॉड्यूल के माध्यम से सिस्टम की वास्तु संबंधी कमजोरियों का उपयोग करके हमले की संभावना को समाप्त करता है।
इसके अलावा, सुरक्षा सुधारों के अलावा, PPAPI के उपयोग की अनुमति है:

• GPU पर फ्लैश सामग्री के पूर्ण हार्डवेयर त्वरण का उपयोग करें
• NPAPI पर कार्यान्वयन के सापेक्ष फ़्लैश प्लेयर क्रैश की संख्या को 20% तक कम करें ( हालांकि सोशल नेटवर्क पर फ़ोरम और प्रोफ़ाइल समूहों पर फ़्लैश क्रैश के बारे में शिकायतों की संख्या को नहीं कहा जा सकता )
• Chrome उपयोगकर्ताओं को मेट्रो मोड ( अब आधुनिक मोड? ) विंडोज 8 में ऐसे प्लग-इन का उपयोग करने की अनुमति देता है। अन्य तृतीय-पक्ष ब्राउज़र NPAPI के उपयोग के कारण ऐसा करने में सक्षम नहीं हैं।
• GNU / लिनक्स उपयोगकर्ता नवीनतम फ़्लैश प्लेयर अपडेट प्राप्त करेंगे। अन्य ब्राउज़र केवल 11.2 संस्करण का उपयोग करने में सक्षम होंगे।

पुरस्कार और प्रतियोगिता

Google ने पहचान की कमजोरियों के लिए बढ़ते भुगतान पर अपने बयान में, इस तथ्य से अपने निर्णय की पुष्टि की है कि छेदों की खोज हाल ही में अधिक जटिल हो गई है, शोधकर्ता से महान प्रयासों की आवश्यकता है, इसलिए इन प्रयासों को उचित ठहराया जाना चाहिए, और प्रेरणा बढ़नी चाहिए। इसलिए, कमजोरियों को खोजने के लिए, Google एक अनाम सीमा पर $ 1,000 का बोनस देता है। इसके अलावा, विशेष रूप से विदेशी कमजोरियों की पहचान करने के लिए पौराणिक पुरस्कार प्राप्त किए जा सकते हैं (वर्तमान में, ऐसी कमजोरियों के लिए $ 10 हजार का उल्लेख किया गया था)। इस तरह के कीड़े में शामिल हैं:

• NVIDIA, AMD और Intel ड्राइवर्स में कमजोरियाँ। एक वेब पेज से कोड निष्पादन की आवश्यकता है। क्रोम OS पर एप्लिकेशन की समीक्षा भी की जा रही है।
• क्रोम ओएस में लिनक्स कर्नेल से समझौता करके विशेषाधिकार बढ़ाने की प्रमुखता। शोधकर्ता की अतिरिक्त जटिलता स्ट्रिप्ड डाउन और संशोधित लिनक्स कर्नेल का उपयोग करती है
• Libjpg लाइब्रेरी में कमजोरियाँ। डेवलपर्स इस तथ्य से नाखुश हैं कि लंबे समय से इस घटक में कमजोरियों के माध्यम से कोई कर्नेल हमले नहीं हुए हैं।
• 64-बिट शोषण। सैंडबॉक्स से बाहर निकलने के बिना भी कोई भी कोड निष्पादन, बढ़े हुए पुरस्कारों के अधीन है।

इसके अलावा, अतिरिक्त बोनस उन लोगों को दिया जाएगा जो मुफ्त पुस्तकालयों, घटकों, डेमॉन आदि में कमजोरियां पाते हैं। यदि शोधकर्ता, भेद्यता का पता लगाता है, तो न केवल इसकी सूचना दी, बल्कि उस पैच को भी प्रतिबद्ध किया, जिसे बाद में सत्यापित किया गया है, फिर यह $ 500 से $ 1000 तक का अतिरिक्त इनाम है। कई अन्य बोनस भी हैं।

पीडियम 2 प्रतियोगिता के लिए, अक्टूबर 2012 में, एचईटीबी सम्मेलन में , शोधकर्ता Google क्रोम में कमजोरियों का प्रदर्शन करने में सक्षम होंगे, जिसके लिए वे $ 60 हजार तक का पुरस्कार प्राप्त कर सकते हैं। कुल पुरस्कार पूल $ 2 मिलियन है। सभी विवरणों को एक विशेष प्रविष्टि में पढ़ें।

स्रोत :
1. क्रिस इवांस , सुरक्षित करने के लिए सड़क, अधिक स्थिर, और फ्लैशियर फ्लैश ।
2. क्रिस इवांस , क्रोमियम भेद्यता पुरस्कार कार्यक्रम: बड़ा पुरस्कार ।