Pwnie Awards - Pwnie Awards

Pwnie Award, напоминающая Мой маленький пони игрушка.[1]

Награды Pwnie признают как превосходство, так и некомпетентность в области информационная безопасность. Победители выбираются комитетом профессионалов индустрии безопасности из номинаций, собранных от сообщества информационной безопасности.[2] Награды вручаются ежегодно на Конференция по безопасности Black Hat.[3]

Происхождение

Название Pwnie Award основано на слове "pwn ", что на хакерском сленге означает" идти на компромисс "или" контролировать "в зависимости от предыдущего употребления этого слова"собственный "(и произносится оно аналогично). Название" The Pwnie Awards ", произносимое как" Пони ",[3] должен звучать как Тони Награды, церемония награждения Бродвейского театра в Нью-Йорке.

История

Премия Pwnie Awards была основана в 2007 году Александр Сотиров и Дино Дай Зови[2] после обсуждения открытия Дино кроссплатформенной уязвимости QuickTime (CVE -2007-2175 ) и открытие Александром уязвимости обработки файлов ANI (CVE -2007-0038 ) в Internet Explorer.

Победители

2019

  • Самое инновационное исследование: векторизованная эмуляция[4] Брэндон Фальк
  • Лучшая криптографическая атака: m / Dr4g0nbl00d m / [5] Мэти Ванхуф, Эял Ронен
  • Самый слабый ответ продавца: Bitfi
  • Самая раздутая ошибка: обвинения в Супермикро аппаратные бэкдоры, Bloomberg
  • Самая недооцененная ошибка: Thrangrycat, Джатин Катария, Red Balloon Security

2018

  • Самые инновационные исследования: Призрак[6]/Meltdown[7] Пауль Кохер, Янн Хорн, Андерс Фог, Даниэль Генкин, Даниэль Грусс, Вернер Хаас, Майк Гамбург, Мориц Липп, Стефан Мангард, Томас Прешер, Михаэль Шварц, Иваль Яром
  • Жизненные достижения: Михал Залевски
  • Лучшая криптографическая атака: возвращение угрозы Oracle Блейхенбахера [8] Ханно Бёк, Юрай Соморовский, Крейг Янг
  • Неудачный ответ поставщика: Bitfi - запоздалый проект, получивший тысячи номинаций после того, как несколько хакеров взломали устройство Bitfi после Джон Макафи хвалит устройство за его безопасность. Несмотря на то, что хакеры взломали устройство, устройство не содержит закрытых ключей, поэтому взлом устройства не приведет к успешному извлечению средств. Bitfi стремилась выплачивать вознаграждение и следовала всем установленным правилам. 8 сентября 2018 года было объявлено о том, какие условия вознаграждения были выполнены и какие выплаты будут произведены. [9]

2017

  • Эпическое достижение: наконец-то исправлена ​​атака TIOCSTI ioctl. Федерико Бенто
  • Самое инновационное исследование: ASLR на линии [10] Бен Гра, Кавех Разави, Эрик Босман, Герберт Бос, Кристиано Джуффрида
  • Лучшая ошибка повышения привилегий: DRAMMER [11] Виктор ван дер Вин, Яник Фратантонио, Мартина Линдорфер, Даниэль Грусс, Клементина Морис, Джованни Винья, Герберт Бос, Кавех Разави, Криштиану Джуффрида
  • Самый неубедительный ответ продавца: Леннарт Поеттеринг - для неправильного обращения с уязвимостями безопасности наиболее эффективно для нескольких критических Systemd ошибки[12]

2016

  • Самое инновационное исследование: Dedup Est Machina: дедупликация памяти как передовой вектор эксплуатации [13] Эрик Босман, Кавех Разави, Герберт Бос, Криштиану Джуффрида
  • Жизненные достижения: Пайтер Затко он же Mudge
  • Лучшая криптографическая атака: DROWN атака [14] Нимрод Авирам и др.

2015

  • Pwnie for Most Epic FAIL: OPM - Управление персонала США
  • Жизненные достижения: Томас Дуллиен, он же Халвар Флаке
  • Самое инновационное исследование: несовершенная прямая секретность: как на практике терпит неудачу Диффи-Хеллман [15] Адриан Дэвид и др.

2014

Награда за лучшую ошибку на стороне сервера досталась исследователям безопасности, обнаружившим Heartbleed, и лучшая ошибка на стороне клиента попала в Джордж Хотц для поиска ошибки в Chrome OS.[16] Награда за самый грандиозный провал досталась яблоко для своего перейти к неудаче ошибка в iOS и OS X.[16]

2013

  • Лучшая ошибка на стороне сервера: Рубин на рельсах YAML (CVE-2013-0156 ) Бен Мерфи
  • Лучшая ошибка на стороне клиента: Adobe Reader Переполнение буфера и выход из песочницы (CVE-2013-0641 ) Неизвестный
  • Лучший Повышение привилегий Ошибка: iOS неполный обход кодовых знаков и уязвимости ядра (CVE-2013-0977, CVE-2013-0978, CVE-2013-0981 ) Дэвид Ван, он же planetbeing, и команда evad3rs
  • Самые инновационные исследования: выявление и использование Windows Условия гонки ядра через шаблоны доступа к памяти[17] Матеуш "j00ru" Юрчик, Гинваэль Холодный Ветер
  • Лучшая песня: All the Things Двухъядерный
  • Самый эпический провал: Nmap: Интернет считается вредным - DARPA Проверка логических выводов, сканирование Kludge Хакин9[18]
  • Epic 0wnage: совместная награда Эдвард Сноуден и АНБ
  • Жизненные достижения: Барнаби Джек

2012

Награда за лучший серверный баг получил Сергей Голубчик за его MySQL обход аутентификации недостаток.[19][20] Две награды за лучший клиентский баг получили Сергей Глазунов и Пинки Пай для них Гугл Хром недостатки, представленные как часть Google Pwnium конкурс.[19][21]

Награда за лучшее повышение привилегий ошибка была отправлена ​​Матеушу Юрчику ("j00ru") из-за уязвимости в Windows ядро это коснулось всех 32-битный версии Windows.[19][20] Награда за самые инновационные исследования досталась Трэвису Гудспиду за способ отправить сетевые пакеты это будет вводить дополнительные пакеты.[19][20]

Приз за лучшую песню получил "Контроль" ботаник рэпер Двухъядерный.[19] Новая категория награды "Tweetie Pwnie Award" за больше Twitter последователи, чем судьи, отправились в MuscleNerd из Команда разработчиков iPhone как представитель взлом iOS сообщество.[19]

Награду «Самый эпичный провал» вручили Metasploit создатель HD Мур к F5 Сети за их статические корень SSH Ключевой вопрос, и награда была принята сотрудником F5, что необычно, поскольку победитель этой категории обычно не принимает награду на церемонии.[19][21] Включены другие номинанты LinkedIn (за нарушение данных, раскрывающее пароль хеши ) и антивирус промышленность (за неспособность обнаружить такие угрозы, как Stuxnet, Duqu, и Пламя ).[20]

Награда за «epic 0wnage» досталась Пламя для своего MD5 столкновение,[21] признав его сложной и серьезной вредоносной программой, которая ослабила доверие к Центр обновления Windows система.[20]

2011

  • Лучшая ошибка на стороне сервера: ASP.NET Платформа Padding Oracle (CVE-2010-3332 ) Джулиано Риццо, Тайский дуонг[3]
  • Лучшая ошибка на стороне клиента: FreeType уязвимость в iOS (CVE-2011-0226 ) Comex[3][22]
  • Лучший Повышение привилегий Ошибка: уязвимости обратного вызова пользовательского режима win32k ядра Windows[23] (MS11-034 ) Тарьей Мандт[22]
  • Самое инновационное исследование: защита ядра с помощью статической двоичной перезаписи и программной пасты[24] Петр Баня[22]
  • Жизненные достижения: pipacs /PaX Команда[22]
  • Неудачный ответ продавца: ЮАР SecurID компрометация токена ЮАР[22]
  • Лучшая песня: "[The Light It Up Contest]" Geohot[3][22]
  • Самый эпический провал: Sony[3][22]
  • Pwnie для Epic 0wnage: Stuxnet[3][22]

2010

  • Лучшая ошибка на стороне сервера: Apache Struts2 удаленное выполнение кода фреймворка (CVE-2010-1870 ) Медер Кыдыралиев
  • Лучшая ошибка на стороне клиента: Ява Цепочка доверенных методов (CVE-2010-0840 ) Сами Койву
  • Лучшая ошибка повышения привилегий: Windows NT #GP Trap Handler (CVE-2010-0232 ) Тэвис Орманди
  • Самое инновационное исследование: вывод Flash-указателя и JIT распыление [25] Дионис Блазакис
  • Самый неубедительный ответ продавца: LANrev удаленное выполнение кода Абсолютное программное обеспечение
  • Лучшая песня: "Pwned - издание 1337 г. " Доктор Рейд и Хэви Пенни
  • Самый эпический провал: Microsoft Internet Explorer 8 XSS фильтр

2009

  • Лучшая ошибка на стороне сервера: Linux SCTP Повреждение памяти фрагмента FWD (CVE-2009-0065) Дэвид 'DK2' Ким
  • Лучшая ошибка повышения привилегий: Linux udev Netlink Повышение привилегий сообщений (CVE-2009-1185) Себастьян Крамер
  • Лучшая ошибка на стороне клиента: msvidctl.dll MPEG2TuneRequest Переполнение буфера стека (CVE-2008-0015 ) Райан Смит и Алекс Уиллер
  • Масса 0наж: Красная шляпа Сети с резервной защитой OpenSSH Пакеты (CVE-2008-3844) Анонимный[2]
  • Лучшее исследование: с 0 по 0 день на Symbian Предоставлено: Бернхард Мюллер.
  • Неудачный ответ производителя: Linux "Постоянно предполагая, что все ядро повреждение памяти ошибки только Отказ в обслуживании " Проект Linux[26]
  • Наиболее распространенная ошибка: MS08-067 Server Service NetpwPathCanonicalize () Переполнение стека (CVE-2008-4250) Анонимный[26]
  • Лучшая песня: Nice Report Доктор Рейд
  • Самый эпический провал: взлом Twitter и «облачный кризис» Twitter[2]
  • Награда за заслуги в жизни: Солнечный дизайнер[26]

2008

  • Лучшая ошибка на стороне сервера: Windows IGMP Уязвимость ядра (CVE-2007-0069 ) Алекс Уиллер и Райан Смит
  • Лучшая ошибка на стороне клиента: множественные недостатки обработки протокола URL Нейт Макфетерс, Роб Картер и Билли Риос
  • Mass 0wnage: невероятное количество WordPress уязвимости
  • Самое новаторское исследование: «Чтобы мы не помнили: атаки холодной загрузки на ключи шифрования» (почетное упоминание было присуждено Рольфу Роллсу за работу над виртуализация обфускаторы ) Дж. Алекс Халдерман, Сет Шон, Надя Хенингер, Уильям Кларксон, Уильям Пол, Джозеф Каландрино, Ариэль Фельдман, Рик Эстли, Джейкоб Аппельбаум, Эдвард Фелтен
  • Самый неубедительный ответ продавца: McAfee программа сертификации "Hacker Safe"[27]
  • Самая раздутая ошибка: Дэн Камински с DNS Уязвимость отравления кешем (CVE-2008-1447 )[27]
  • Лучшая песня: Собираем K! к Лаборатория Касперского[27]
  • Самый эпический провал: Debian испорченный OpenSSL Выполнение (CVE-2008-0166 )
  • Награда за заслуги в жизни: Тим Ньюшем

2007

Рекомендации

  1. ^ Рашид, Фахмида Ю. (2 августа 2011 г.). «В число номинантов на премию Pwnie Awards 2011 входят Sony, Anonymous, LulzSec, WikiLeaks». eWeek. Получено 3 января, 2013.
  2. ^ а б c d Булей, Тейлор (30 июля 2009 г.). «Твиттер снова« взломан »». Forbes. Архивировано из оригинал 16 февраля 2013 г.. Получено 3 января, 2013.
  3. ^ а б c d е ж грамм Саттер, Джон Д. (4 августа 2011 г.). «Sony получает награду от хакеров« эпический провал »». CNN. Получено 3 января, 2013.
  4. ^ «Векторизованная эмуляция: аппаратное ускорение отслеживания заражения со скоростью 2 триллиона инструкций в секунду», Векторизованная эмуляция
  5. ^ «Dragonblood: Анализ рукопожатия Dragonfly WPA3 и EAP-pwd»
  6. ^ «Атаки призрака: использование спекулятивного исполнения», Призрак
  7. ^ "Мелтдаун", Meltdown
  8. ^ "Возвращение угрозы оракула Блейхенбахера (РОБОТ)"
  9. ^ «Важное заявление от Bitfi», Публичное объявление Bitfi
  10. ^ «Pwnie за самые инновационные исследования», Pwnie Awards
  11. ^ «Pwnie за лучшую ошибку повышения привилегий», Pwnie Awards
  12. ^ «2017: Pwnie за отстраненный ответ продавца», Pwnie Awards
  13. ^ "Dedup Est Machina: дедупликация памяти как вектор расширенной эксплуатации", Эрик Босман и др.
  14. ^ «DROWN: нарушение TLS с использованием SSLv2» Нимрод Авирам и др.
  15. ^ "Несовершенная прямая секретность: как Диффи-Хеллман терпит неудачу на практике", Адриан Дэвид и др.
  16. ^ а б Шарр, Джилл (7 августа 2014 г.). «Награды Pwnie отмечают победы и невероятные неудачи в области безопасности». Руководство Тома. Получено 6 августа, 2015.
  17. ^ «Выявление и использование условий гонки ядра Windows с помощью шаблонов доступа к памяти»
  18. ^ в 09:31, Джон Лейден, 5 октября 2012 г. «Эксперты троллят« самый большой журнал по безопасности в мире »с ДИКСКИМ подчинением». www.theregister.co.uk. Получено 2019-10-03.
  19. ^ а б c d е ж грамм Инь, Сара (26 июля 2012 г.). «И победители вашей премии Pwnie 2012 года ...» SecurityWatch. PCMag. Получено 8 января, 2013.
  20. ^ а б c d е Константин, Лучиан (26 июля 2012 г.). «Взлом Windows Update от Flame получил награду Pwnie за эпическое владение в Black Hat». IDG-News-Service. PCWorld. Получено 8 января, 2013.
  21. ^ а б c Шон Майкл Кернер (25 июля 2012 г.). "Black Hat: Pwnie Awards Go to Flame за Epic pwnage и F5 за эпический провал". InternetNews.com. Получено 8 января, 2013.
  22. ^ а б c d е ж грамм час Шварц, Мэтью Дж. (4 августа 2011 г.). «Основные моменты Pwnie Award: Sony Epic Fail и многое другое». Информационная неделя. Получено 3 января, 2013.
  23. ^ «Атаки ядра посредством обратных вызовов пользовательского режима»
  24. ^ «Защита ядра с помощью статической двоичной перезаписи и программной пасты»
  25. ^ «Вывод указателя использования интерпретатора и JIT-распыление»
  26. ^ а б c Браун, Боб (31 июля 2009 г.). «Twitter, Linux, Red Hat, Microsoft удостоены награды Pwnie Awards». NetworkWorld. Архивировано из оригинал 5 августа 2009 г.. Получено 3 января, 2013.
  27. ^ а б c Наоне, Эрика (7 августа 2008 г.). "Black Hat's Pwnie Awards". Обзор технологий MIT. Получено 3 января, 2013.
  28. ^ а б c d е ж Нарайн, Райан (2 августа 2007 г.). "Команда OpenBSD высмеяла первые награды Pwnie". ZDNet. Получено 3 января, 2013.

внешняя ссылка