12.03.2012, 09:18

Премия за взлом: студент из Тюмени заставил Google раскошелиться

ОРЕАНДА-НОВОСТИ. Студент Тюменского госуниверситета Сергей Глазунов отличился на слёте хакеров в Ванкувере, всего за 2 минуты найдя дырку в ПО от Google. Сибирский талант получил за своё достижение 60 тыс. долларов.

7-9 марта 2012 г. в канадском Ванкувере в рамках конференции SarSecWest проводился международный хакерский конкурс Pwn2Own. Данное мероприятие проводится, начиная с 2007 г., по инициативе компании Google, которая платит "белым" хакерам деньги за взлом своего программного обеспечения, стремясь сделать его максимально надёжным и безопасным. К слову сказать, задача эта не из лёгких. Так, в прошлом году никому из участников конкурса не удалось сломать браузер Google Chrome, несмотря на обещанные 20 тыс. долларов.

Стремясь подогреть рвение участников в этом году, некоторое время назад корпорация Google объявила об условиях очередного этапа конкурса, по обнаружению багов в ПО компании. Корпорация предложила достаточно щедрый призовой фонд размером в 1 млн долларов из которого и должны были производиться выплаты. Наибольшая премия в 60 тыс. долларов была предложена за обнаружение уязвимости, которая позволяет получить управление аккаунтом пользователя в Chrome/Windows 7. Вторая премия в размере 40 тыс. долларов была предложена за найденную возможность какой-либо "дыры" в среде Chrome. Третья премия в 20 тыс. долларов предлагалась за обнаружение относительно небольших неполадок в ПО. Приятным дополнением к премии от Google должен был стать хромобук, т.е. ноутбук, работающий на операционной системе Chrome.

Первую премию и чек на соответствующую сумму получил российский программист, студент Института математики и компьютерных наук Тюменского госуниверситета Сергей Глазунов за нахождение дефектов браузера, связанных с UXSS-атакой и историей навигации в Chrome. Как "впечатляющую" оценил работу Сергея Джастин Шух, отвечающий в Google за компьютерную безопасность. По словам Шуха, Глазунову удалось взломать браузер и далее делать с ним всё, что придёт в голову. Как известно, именно на подобном сценарии базируются многие киберпреступления. Поэтому компании важно обнаружить слабые места в своём ПО раньше, чем это сделает кто-то другой. Обнаруженная Глазуновым "дырка" потребовала суточных усилий специалистов компании по её ликвидации. Интернет-гигант призвал пользователей установить обновления безопасности, пообещав обнародовать позже подробности уязвимостей браузера. О Сергее Глазунове известно, что он уже некоторое время специализируется на обнаружении ошибок в браузере Chromium. В 2011 г. он уже нашёл 15 уязвимостей в браузере и предложил 5 решений, получив за это от корпорации в награду 59 тыс. долларов.

Кроме студента из России выплату получила французская команда разработчиков из компании VuPen Security, которая смогла найти дыру в т.н. песочнице Chrome, обманув защитные механизмы DEP и ASLR. Французы также взломали Explorer и Firefox, что, впрочем, мало кого удивило.

Помимо законного чувства гордости за российского студента и российский университет, предлагающий, как теперь очевидно, образовательные программы на высоком, качественном уровне, нельзя не обратить внимание на сильный менеджерский ход со стороны руководства корпорации Google. В рамках данной модели сотрудничества довольны все: "белые" хакеры получают деньги и признание, а компания - более совершенный, чем у её конкурентов, продукт.

В данной связи не может не возникнуть мысль о том, что, может быть, именно подобной модели создания высокотехнологичных продуктов и принадлежит будущее? Лучшие специалисты со всего мира сотрудничают в рамках определённого проекта, не стеснённые государственно-правовыми, национальными, социальными, расовыми и прочими формальностями и условностями. Даже физическая удалённость не является более преградой для плодотворной совместной работы.

В этих условиях организация научной и производственной деятельности, предполагающая в качестве обязательного начального этапа собирание проектировщиков, разработчиков, менеджеров и других специалистов непременно в одном месте и под одной крышей кажется архаизмом безвозвратно ушедшей эпохи индустриализации. Не отрицая необходимости создания сложной инженерно-технической инфраструктуры нельзя также не отметить на вышеописанном примере корпорации Google, что не менее, а может быть ещё и более сложной задачей является привлечение высококлассных специалистов, которые, как правило, успешно развивают свои способности и таланты в рамках уже существующих научных школ и направлений. А целые научные школы не так-то легко пересадить из одного места в другое. На это могут уйти десятилетия без какой-либо гарантии успеха.

Хочется надеяться, что все эти соображения известны разработчикам "Сколково".

Андрей Терёхин, Ореанда-Новости