Idén tavasszal is megrendezésre kerülnek a kliens-oldali exploitok Grand Prix-jai, a Pwn2Own és a Pwnium.
Pwn2Own 2014
A nagyobb hagyománnyal bíró, a kliens-oldali exploit mitigációk zászlóshajóinak számító webböngészőket célba vevő Pwn2Own összedíjazása idén majdnem 650.000 dollár, a legdrágább - vagyis leginkább védett(nek vélt) - célpontok idén is a Google Chrome és az Internet Explorer lesznek, 64 bites Windows 8.1-en. Az új operációsrendszerben a sandboxinra eddig is használt Mandatory Integrity Control, valamint a "szokásos" ASLR és DEP mellett újabb megerősítéseket kapott a heap manager, így a heap metaadatok manipulálása, illetve a heap spraying még nehezebbé vált - utóbbi faktorban természetesen a 64 bites címtér is nehezítést jelent.
A fenti böngészők megdöntéséért 100.000 dollár üti a szerencsések bitbűvészek markát - a szerencsére a memória randomizáció mellett a sorsolásos rendszer miatt is szükség lesz, a versenyzők próbálkozási sorrendjét ugyanis véletlenszerűen döntik el, és csak az első sikeres próbálkozó részesül díjazásban. Hogy ezért a pénzért milyen akadályokon kell átverekednie magát egy hackernek, arról egy jó összefoglalót olvashattok itt Ivan Fratic jóvoltából.
A többi vcélpont közül talán meglepő módon az Adobe Reader és Flash böngészőkiegészítők érnek a legtöbbet (75.000 dollár), jelezve, hogy a jelentős fuzz tesztelés és a kiegészítők védett módba szorítására tett erőfeszítések érdemben növelték az egykor hírhedt szoftverek biztonsági szintjét. Ez után következik a Safari + OS X kombó (65.000) majd a Firefox +Windows 8.1 (50.000) végül a Java (30.000), utóbbi beépülő esetén a click-to-play kijátszása is elvárt.
Végül, de nem utolsó sorban idén megjelent egy új kategória, az Unikornis, melyben 150.000 dolláros fődíjjal jutalmazzák azt, akinek sikerül egy EMET-tel védett böngésző sandboxból kiugrania kizárólag böngészőt érintő hibák kihasználásával, majd ez után közepes integritású felhasználói folyamatból SYSTEM-re emelnie a jogkörét egy operációsrendszer hibát kihasználva.
Pwnium 2014
A Pwnium a Google saját versenye (a Pwn2Own-ban ők fizetik a költségek negyedét, a maradék a HP/ZDI-é), melyben kifejezetten a Chrome OS biztonságát akarják felmérni és persze bevásárolni eddig nem nyilvánosságra hozott bugokból. A verseny összdíjazása idén e millió dollár, melyből minden olyan versenyző részesülhet, aki sikeresen demózni tud egy böngésző vagy rendszer szintű hozzáférést biztosító, böngészőn keresztül triggerelt exploitot (110.000 dollár exploitonként), illetve meg tudja tartani a gép feletti uralmat annak újraindítása után is (150.000 dollár). A versenyen ezen kívül különböző bónuszok kaphatók a különösen agyafúrt megoldásokért.
Az idei Pwnium különlegessége, hogy a célpontok között a HP ARM architektúrájú Chromebookja is szerepelni fog, ami gyakorlatilag egyfajta beavatási szertartásnak tekinthető: mostantól (valójában persze már jó ideje) a jellemzően ARM-mal hajtott mobil eszközök is valódi, értékes célponttá váltak, melyek megerősítésére (és hibáinak felkutatására) az x86-os családhoz hasonló figyelmet kell szentelnünk.
