パスワードを忘れた？ アカウント作成
Close
18274 story
Windows

未知のWindowsの脆弱性を探して賞金2万ドル 40

ストーリー by nabeshin
穴は大会まで大事に取っておく 部門より

masakun 曰く、

Full Disclosureより。Digital Armaments January-February Hacking Challengeが始まっています。これは各部門ごと2万ドルを賭けたWindows上のセキュリティホールを探すハッキングコンテストで、「Exploitable Vulnerability」「Working Exploit for Windows」「Windows Diffuse Application」という三部門が用意されています。単にセキュリティホールを探し出すだけでなく、デモコードや文書も用意する必要があります。〆切はアメリカ東部標準時の2008年2月28日です。

最近Windowsに対するゼロディ攻撃の報道を見かけなくなったような気がしますが、Microsoft社のセキュリティ意識の向上が功を奏しているのか、それとも単にアンダーグラウンドに出回って表面化しないだけなのでしょうか。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

未知のWindowsの脆弱性を探して賞金2万ドル More

  • 早速見つけましたよ (スコア:4, すばらしい洞察)

    by aqn (35509) on 2008年01月18日 11時30分 (#1282605)
    Windowsユーザ

    #既知ですか、そうですか。

    • Re: (スコア:0)

      by Anonymous Coward
      むしろ、一般大衆。

      # OSの差異は関係ない。あいつらなんでもOKと実行をクリックしやがるっ

      • 油断大敵 (スコア:1)

        by masakun (31656) on 2008年01月18日 15時05分 (#1282767) 日記
        かつてこんなコメント [srad.jp]がありましたね

        yaari.comに入ってしまったクチなのですが(送っちゃった人、ごめんなさい。っていうか、このタレコミした当人から来たんだもん

        いつもは気を付けている人でも、ソーシャルエンジニアリング [itmedia.co.jp]に対しては油断してしまう場面って誰にでもありますよね。

        # アレゲな人でも危ないってことで

        --
        モデレータは基本役立たずなの気にしてないよ
        シェア
        親コメント

  • あれ、今年閏年だよな… (スコア:2, 参考になる)

    by Anonymous Coward on 2008年01月18日 10時15分 (#1282553)
    なのになんで〆切が2/28？もしかしてwindowsに閏年計算のバグが？

     
     

     
     
    と思ったが、ソース [seclists.org]はちゃんと

    >be received by midnight EST on February 29, 2008.

    になってんじゃん。
    • きっと「2月29日の終わりまで」という理解でいいんだよなと思いつつ、
      英語で "midnight on February 29" と言ったら「2月29日0時」と「2月29日23時59分59.99..秒」のどちらを表しているのか自明なんだろうか。
      手元の辞書だと、midnightは「真夜中; 夜の12時」としか書かれていないので。
      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward

      日本標準時(JST)=GMT+9 アメリカ東部時間(EST)=GMT-5 その時差は14時間

      つまり日本時間29日を締め切りだと思っていると遅れるけど、28日締め切りだと思っていれば間に合うという親心だったり....?

  • これが無ければ結構強固 (スコア:2, おもしろおかしい)

    by Anonymous Coward on 2008年01月18日 12時37分 (#1282662)
    脆弱性リスト
    ・「はい」ボタン
    ・「OK」ボタン
    ・「Yes」ボタン
    ・「Accept」ボタン

    他になんかありましたっけ？

  • さもありなん (スコア:2, 参考になる)

    by Vorspiel (2391) on 2008年01月18日 22時25分 (#1283046) ホームページ
    主催元が胡散臭い [computerworld.jp](=正体不明)らしい。

  • OSSもやればいいのに (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2008年01月18日 10時36分 (#1282557)
    ソース公開されてれば「カンニング」できる。
    せっかく公開されてても見る人が限定されてる状況下では非公開なのと大差ないので、多くの人に見る機会を与えることになって、それで脆弱性も見つかれば、一石二鳥。

    • Re:OSSもやればいいのに (スコア:3, おもしろおかしい)

      by yukichi (12361) on 2008年01月18日 11時11分 (#1282589) ホームページ
      優勝者にはソースコード一年分を進呈。
      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        進呈するがライセンスはオープンソースである事。
        なお名前を載せる権利を得るが、ついでにバグ対策をする義務も与える。

    • Re:OSSもやればいいのに (スコア:2)

      by yasiyasi (5450) on 2008年01月18日 11時07分 (#1282579)
      話題を集めるための賞金を出してくれるスポンサーを集められたら，出来るんだろうね。
      シェア
      親コメント

    • Re:OSSもやればいいのに (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2008年01月18日 11時11分 (#1282588)
      脆弱性を探すためにソース読む
      ソースを理解する人間が増える→開発者も増える
      一石三鳥
      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        俺ならバグ仕込んで、友達に発見させるね

      • Re: (スコア:0)

        by Anonymous Coward
        実際には脆弱性を探すためだけにソースを読む者は稀で、
        使っているOSSが想定通りに動かないとか、誤動作するとか、
        そいういう現象にぶつかったときに調べるためにその部分の
        ソースを読むというケースがほとんどです。

        正常に動作はするが脆弱性を抱えている部分に関しては、
        ほとんど気づかれることはありません。

        脆弱性を探すためだけにソースを読んでいるのは悪意の攻撃者で、
        自分が悪用するためにだけ探していることが多いです。

        ソースを理解できないものはソースを読むということすらしないので、
        開発者になるというのもほとんどあり得ません。
        開発にかかわっている人が、ソースを読むことでレベルアップする
        ということはあると思いますが。

        • 「セキュリティーホールの発見者に賞金を出すよ」と発表することでソースコードを読める人が増えるかどうかは、よくわからないので安易に結論に飛びつくことは避けますが。

          脆弱性を探すためだけにソースを読んでいるのは悪意の攻撃者で、
          自分が悪用するためにだけ探していることが多いです。

          そんなことはないのでは。「多い」という表現の捉え方の違いかもしれませんが。僕はソフトウェアのセキュリティーに興味があって、セキュリティーホールを探すためにソースコードを読んだことがあります。これによって「こいつ悪い奴じゃないの?」と判断されてしまうとしたら悲しいです。

          OpenBSD では code auditing [openbsd.org] といって、特にバグが報告されているわけでもないコードを見直して、隠れたバグやセキュリティーホールを持つ個所を探すという習慣があります。

          また、一般にソフトウェアのセキュリティーホールの発見者を見ているとソフトウェアセキュリティーを専門に扱う会社の社員であることがよくあります。そういう人は、ソースコードが公開されているソフトの場合、セキュリティーホールを探すためにソースコードを読むのではないでしょうか。

          シェア
          親コメント

    • Re:OSSもやればいいのに (スコア:1, 参考になる)

      by Anonymous Coward on 2008年01月18日 11時12分 (#1282590)
      何年か前にMozillaがやった覚えがありますが、結局、あとから
      「これはあれだから賞金支払い条件に満たない」とかなんとか言い出したので
      発見者が怒って修正前に公開したとかいう事件があったような気がする。

      シェア
      親コメント

    • でも (スコア:0)

      by Anonymous Coward
      カンニングしたら落第しそう。

  • そりゃそうと (スコア:0)

    by Anonymous Coward on 2008年01月18日 15時15分 (#1282780)
    ビル・ゲイツが６月でＭＳを退くのってタレこまれてたっけか？

  • qq (スコア:0, 荒らし)

    by Sithgunner (6190) on 2008年01月20日 1時22分 (#1283451)
    qq

  • qqw (スコア:0, 荒らし)

    by Sithgunner (6190) on 2008年01月20日 10時32分 (#1283482)
    qqw
typodupeerror

人生unstable -- あるハッカー