比赛组织者预测，谷歌的Chrome浏览器很可能会在下月的Pwn2Own黑客挑战赛的第一天幸存下来，但在下一天规则改变时可能会失败。
比赛组织者今天预测，谷歌的Chrome浏览器很可能在下月的Pwn2Own黑客挑战赛的第一天幸存下来，但在下一天规则改变时可能会失败。
惠普TippingPoint安全研究团队的经理艾伦•波特诺伊(Aaron Portnoy)表示，其他三种目标浏览器——苹果(Apple)的Safari、微软(Microsoft)的Internet Explorer和Mozilla的火狐(Firefox)——几乎肯定会在Pwn2Own今年再次暴跌。但Chrome是一个未知数。
Portnoy说:“如果不是全部的话，我敢肯定大部分的浏览器都会受到影响。”“我怀疑IE、Firefox和Safari都会被黑，但Chrome不会，不会第一天就被黑。”
TippingPoint是第五届Pwn2Own年度竞赛的赞助商，该竞赛将于3月9日至11日在加拿大温哥华举行的安全会议CanSecWest举行。
Chrome将会比其他浏览器持续更长的时间——或者可能会在第三年脱离Pwn2Own而毫发无损——因为它是四个浏览器中唯一一个依赖于“沙箱”的。A sandbox isolates system processes, theoretically preventing malware from escaping an application -- like Chrome -- to infect the computer.
要利用像Chrome这样的沙箱程序(另一个是Adobe Reader X)，黑客需要的不只是一个漏洞，而是两个:第一个要逃离沙箱，第二个要利用应用程序本身。
TippingPoint研究人员、Pwn2Own过去的获奖者彼得·弗鲁格登希尔(Peter Vreugdenhil)说:“Chrome的沙箱是一大障碍。”Vreugdenhil将是今年比赛的评委之一。
如果研究人员接受了Chrome，他们必须在不同的规则下进行游戏。在比赛的第一天，黑客们只能利用谷歌自己代码中的漏洞来破解浏览器——如果成功，他们就能获得2万美元的奖金。
在比赛的第二和第三天，研究人员可以利用一个非chrome漏洞——比如Windows上的一个——来突破浏览器的沙箱。如果在第二天或第三天成功进行攻击，研究人员的口袋里仍然会有2万美元，但谷歌和TippingPoint将平分这笔钱。
“谷歌不想为别人代码中的漏洞买单，”Portnoy说。
谷歌是第一个将钱放入Pwn2Own奖金池的浏览器供应商，并且将会这样做最多支付20,000美元。Portnoy表示，谷歌向TippingPoint提出了收购要约，此举可能为Chrome在竞争中保住了一席之地。
“他们给出的数字是2万美元，”他说。事实上，我们并没有打算加入Chrome，我们根本没有打算在比赛中使用它，因为我们已经有了一个WebKit浏览器WebKit是一个开源的浏览器引擎，不仅支持Chrome浏览器，也支持Safari浏览器。
其余资金——1.5万美元用于首次利用每个浏览器，另外6万美元用于Pwn2Own的移动黑客追踪——来自TippingPoint。
因为谷歌把钱投在浏览器挑战的Chrome部分，Portnoy在收到前比赛获胜者和其他人的反馈后修改了规则安全然后研究人员提出了第一天、第二天和第三天的划分。
Portnoy和Vreugdenhil坚持认为Chrome是可以破解的。
“Chrome使用WebKit，这是它的主要弱点，”Portnoy说。沙箱必须依赖底层的操作系统来提供谷歌无法减轻的安全性。这大大增加了攻击面。我们知道(Chrome漏洞)存在。”
而沙盒逃逸技术，无论是一般的还是针对Chrome的，都是“相当有名的”，Portnoy说。
Vreugdenhil说:“但是找到一个潜在的漏洞[逃离沙箱]并不是一件小事。”他有资格谈论利用困难。
去年，Vreugdenhil在Pwn2Own上使用了两个不同的Windows漏洞绕过Windows 7的ASLR和DEP为了获得1万美元的奖金，他可以侵入IE。那时，波特诺伊称弗瑞格丹希尔的作品“技术上令人印象深刻”。
TippingPoint希望Chrome更大的奖励能够说服研究人员去尝试谷歌的浏览器，而Portnoy则希望任何有WebKit漏洞的人都会首先瞄准Safari。
Portnoy说:“如果你要使用Pwn2Own[带有WebKit漏洞]，你的第一个目标是Safari，因为它运行在一个更弱的操作系统上，而且你不是在处理沙箱。”
在去年的Pwn2Own大会上，Firefox、IE和Safari在比赛的第一天就被攻破了，但是Chrome一直没有动过。三次冠军查理·米勒(Charlie Miller)因入侵Mac OS X上的Safari浏览器获得了1万美元奖金，而一名德国计算机科学专业的学生Nils则侵入了火狐浏览器Windows 7。和Vreugdenhil一样，Nils不得不避开Windows的ASLR和DEP保护。
TippingPoint预计今年会有更多黑客行为。
“也许今年，攻击者将决定利用他们的Chrome漏洞，”Portnoy说。
Gregg Keizer为计算机世界涵盖微软，安全问题，苹果，网络浏览器和一般技术的突发新闻。在推特上关注格雷格@gkeizer或订阅格雷格的RSS提要。他的电子邮件地址是gkeizer@computerworld.com。
阅读更多有关浏览器的资料在计算机世界的浏览器主题中心。
这个故事，“Pwn2Own组织者预测Chrome将生存第一天”最初发表《计算机世界》 。