CanSecWest : seul Linux aura résisté aux hackers

Le concours de hacking du CanSecWest organisé par la société Tipping Point (voir notre actualité) a pris fin. Trois jours durant (du 26 au 28 mars), trois ordinateurs portables intégrant trois OS différents à jour, à savoir Mac OS X 10.5.2, Windows Vista Ultimate SP1 et Ubuntu 7.10, ont subi les assauts de hackers motivés par la perspective d'une prime et d'une certaine notoriété.

A l'issue de la première journée, les machines ont résisté aux tentatives d'attaques à distance (attaques par le réseau) et les règles ont été assouplies via l'autorisation d'un accès physique aux ordinateurs par l'entremise des organisateurs (interaction utilisateur avec l'ouverture d'un site Web ou d'un courriel). Dès lors, le premier à baisser pavillon a été le MacBook Air suite à une attaque impliquant vraisemblablement une faille dans le navigateur Web Safari (plus de détails ici). Les machines sous Vista et Ubuntu sont quant à elles restées inviolées.


Windows Vista succombe à son tour
La troisième phase du concours a donc été décrétée, c'est-à-dire l'installation d'applications tierces sur les deux machines restantes comme Acrobat Reader et Flash Player d'Adobe, le navigateur Firefox et le logiciel de VoIP Skype. Pour le portable sous Windows Vista, c'est un trou de sécurité dans Flash Player qui lui a été fatal et ainsi, Shane Macaulay a remporté le Fujitsu U810 sous gouverne de Windows Vista Ultimate SP1 avec 5 000 dollars de prime.


Linux en vainqueur ?
Apparemment, le grand vainqueur est le VAIO VGN-TZ37CN intégrant la distribution Linux Ubuntu 7.10 qui a résisté aux attaques tout au long du concours. Pour autant, certaines voix, notamment du côté de Microsoft, s'élèvent pour dénoncer un certain manque de volonté de la part des participants qui ont bien découvert des trous de sécurité mais n'ont pas daigné mettre au point un exploit. De même, une polémique risque de naître quant à savoir si c'est le système d'exploitation Windows Vista qui est réellement vulnérable ou une autre application. A priori, la vulnérabilité utilisée pour mettre en échec Vista serait d'ailleurs cross-plateforme.

Devenues propriété de Tipping Point, les vulnérabilités découvertes ne seront pas publiées et les éditeurs concernés pourront les combler.