Parker Falcon :: Grooving on the paper

March 24th Update: We've modified the rules and increased the prize amounts. Please see the new rules detailed below.
3월 24일 업데이트: 규칙을 수정하였고 상금의 양을 늘렸습니다. 아래에 나온 새로운 규칙을 확인해주세요.

Since the announcement of the ZDI cash prize sponsorship for the CanSecWest PWN to OWN contest, we've received a lot of excellent and much appreciated feedback from the security community regarding the complexity of the original rules and the prize structure. We've gone back to the drawing board to see how we can better simplify the contest.
ZDI가 CanSecWest PWN to OWN 컨테스트에 현금 상금을 지원하기로 한 발효 이후에 우리는 보안 컴뮤니티들로 부터 원래 규칙과 상금의 규모에 대한 소중한 피드백을 많이 받았다. 우리는 처음 단계로 돌아가서 컨테스트를 얼마나 더 단순하게 할 수 있는지 보았다.

Based on the current feedback, we've agreed to keep this contest a "best of the best" showdown, and therefore only one cash prize will be offered per machine.  Our original goal in offering the chance for multiple persons to compete for cash prizes (even after the boxes were pwned) was to create more opportunity and fairness to the contestants and alleviate issues of timing around who gets to go first.  As a result of reducing the number of prizes to three, we were able to increase the prize amounts as detailed below.
현재의 피드백으로 보아 우리는 이 컨테스트를 "최고중의 최고인" 경기로 하는데 동의했다. 그래서 한 기기당 하나의 상금만이 지급될 것이다. 우리의 원래 목표는 경쟁을 위해서 여러 사람들에게 상금을 나눠 주어(이미 컴퓨터가 점령 당했더라도) 좀 더 많은 기회를 주고 경쟁자들에게 공정하게 하며 누가 먼저이냐는 시간적인 문제를 완화시키기위해서 이었다. 결과적으로 전체 상의 수를 셋으로 줄이면서 상금의 양이 아래와 같이 늘어났다.


Well, it's that time of year again- the CanSecWest security conference is rolling back around March 26th-28th in Vancouver, BC.
자, 올해도 CanSecWest 보안 회의가 벤쿠버에서 3/26~3/28일 까지 열립니다.

This year's conference includes another round of the now famous "PWN TO OWN" contest, established in 2007 by CanSecWest organizers.  For any who may not be familiar with the previous year's festivities, you can brush up on the subject here.
올해의 회의는 2007년에 시작된"PWN TO OWN"이라는 유명한 경기도 같이 진행합니다. 작년의 대회에 대해 잘 모르시는 분들을 위해서 여기서 복습하실 수 있습니다.

We received numerous inquiries as to whether or not the TippingPoint Zero Day Initiative program (ZDI) was going to step up with another cash reward this year for the winning vulnerability. After some careful thought and deliberation, we all agreed that despite some of the controversy last year, the outcome was a win-win situation for all. The ZDI program was able to remove a critical Apple QuickTime flaw from the market and hand it over to Apple quickly and responsibly- and Apple was able to very quickly issue an update to protect their customers. Oh yes, and the winner- Dino Dai Zovi- walked away with a pocket full of cash.
우리는 올해에 ZDI가 해킹 대회의 상금이 더 늘어나는지에 대한 수많은 요청을 받았습니다. 심사숙고 끝에 우리는 작년의 몇가지 논쟁이 있었지만 결국은 모두에게 윈-윈 상황이 되는것이라는데 동의했습니다. ZDI 프로그램은 시장에서 Apple의 QuickTime의 결점을 제거할수 있었고 Apple에게 전달하여 재빨리 업데이트 하여 그들의 소비자들을 보호할 수 있었습니다. 물론 승리자인 Dino Dia Zovi는 상금을 잔득 받아서 돌아갔습니다.

With a few important lessons learned from the ad-hoc sponsoring of the contest last year, the ZDI program has agreed to get involved again, and raise the stakes of the existing contest with some cash incentives.
작년에 Ad-hoc 스폰서링을 통해서 배운 몇가지 중요한 교훈들과 함께 ZDI 프로그램은 같이 하기로 하고, 현재 경기의 상금을 더 늘리기로 하였습니다.

Here are the details that we've ironed out with CanSecWest organizers, and more details will follow leading up to the contest. Stay tuned, we'll keep you posted on all the late breaking news!
여기에 우리가 CanSecWest 조합과 함께 이야기 한 자세한 것이 있습니다. 더 자세한 이야기는 컨테스트와 함께 하겠습니다. 집중하시고, 새로운 소식이 생길 때 마다 이곳에 포스팅하겠습니다.

The 2008 PWN to OWN Details

PWN to OWN 2008의 자세한 이야기.

This year's PWN to 0WN contest will begin on March 26th, the first day of the CanSecWest conference. The contest includes three laptops, running the most up to date and patched installations of MacOS X Leopard, Windows Vista, and Ubuntu Linux:
올해의 PWN to 0WN 컨테스트는 CanSecWest 회의의 첫날이 3/26일에 시작합니다. 이 컨테스트에서는 3개의 랩탑이 있는데 가장 최신 버전으로 업데이트 된 Mac OS X Leopard와 Windows Vista, 그리고 우분투 리눅스 입니다.

• VAIO VGN-TZ37CN running Ubuntu 7.10
• Fujitsu U810 running Vista Ultimate SP1
• MacBook Air running OSX 10.5.2

• Ubuntu 7.10을 돌리는 VAIO VGN-TZ37CN
• Vista Ultimate SP1 을 돌리는 Fujitsu U810
• OSX 10.5.2를 돌리는 MacBook Air

The main purpose of this contest is to responsibly unearth new vulnerabilities within these systems so that the affected vendor(s) can address them.
이 경기를 진행하는 목적은 아직 발견되지 않은 보안상의 문제점을 발견하여 제조사들이 처리할 수 있게 하는 것 입니다.


To claim a laptop as your own, you will need to read the contents of a designated file on each system through exploitation of a 0day code execution vulnerability (ie: no directory traversal style bugs).  Each laptop will only have a direct wired connection (exposed through a crossover cable) and only one person may attack each system at a time so that each team's exploit remains private. Slots will be available for sign up in 30 minute increments at the beginning of each day.  Slots are assigned in random order.  Once everyone signs up each morning, spots will be assigned randomly. Any WiFi or Bluetooth exploits will be verified offsite in a secure lab to prevent snooping.  The first winner of each laptop gets to keep it (one laptop per vulnerability entry) as well as a cash prize sponsored by ZDI.  Once a laptop is won however, no more exploits may be submitted.  Therefore there are a maximum of three cash prizes, one per laptop. All winning exploits will be handed over to the affected vendors at the conference through the ZDI, with the appropriate credit given to the contestant once the vendor patches the issue.  Until then, the actual vulnerability will be kept quiet from the public. This is a required condition of entry into the contest; all entrants must agree to the responsible disclosure handling of their vulnerability/exploit through the ZDI. An awards ceremony at the end of the conference will present each winner with their prizes. 
랩탑을 점령했다고 주장하기 위해서는 각 시스템에 있는 특정한 파일의 내용을 읽어야 합니다. (directory traversal 형식의 버그는 안됨) 각 랩탑은 크로스오버 케이블로 연결되어서 한번에 한 사람 만이 시스템에 공격을 시도할 수 있어 서로의 공격 방법은 비공개 입니다. 각각의 시간은 30분씩이며 순서는 임의로 배정하였습니다. 모든 사람들이 아침에 신청을 완료하면 임의로 배정합니다. 스누핑을 방지하기 위해서 모든 블루투스나 WiFi들은 밖에 두도록 합니다. 각 랩탑의 첫번째 승리자들은 이미 점령한 랩탑은 더 이상 다른 진행을 하지 않습니다. 그러므로 상은 각 노트북별로 하나씩 하여 최대 3개가 것입니다. 모든 exploit들은 이 컨퍼런스에서 ZDI를 통해 각 벤더 들에게 전해지고 벤더들이 그 문제를 해결하게 되면 참가자(?)들은 상금을 받게 됩니다(?). 그 문제가 해결될 때 까지는 보안상의 문제점은 공개되지 않습니다. 아래는 이 컨테스트에 참가하기 위한 조건입니다 : 모든 경기 참가자들은 ZD를 통해서 그 취약점들에 대해서 책임을 가지고 다루는 것에 동의해야 합니다. 시상식은 컨퍼런스가 끝나고 승리자들에 대해서 각각의 상을 수여합니다.

Any vulnerability that the Zero Day Initiative awards a cash prize for, becomes the property of the ZDI, and therefore the winner can not discuss or disclose details of the 0day until the affected vendor has successfully patched the issue.  Any discussion of the bug prior to the public disclosure of a ZDI advisory will result in forfeiting of the prize. TippingPoint is collaborating with the vendors to ensure that their response teams will be ready and waiting to receive any and all 0day that comes out of this contest.  For all other vulnerabilities, we are ready to forward the information on to the appropriate vendor (Adobe, Skype, Apache, Sendmail, etc.) upon verification of the issue.
Zero Day Initiative가 상금을 수여하면서 그것은 ZDI의 소유가 되며 어떠한 보안상의 문제점도 벤더가 완전하게 패치하기 전까지는 공개되어서는 안됩니다. ZDI 고문에 의해서 공개되기 전에 그것에 관한 논의가 있다면 상금은 없어집니다. TippingPoint는 벤더들과 함께 함께하여 그들이 이 경기에서 나온 보안상의 문제점에 대해서 잔달 받을 준비가 되었다는 것을 확인합니다. 다른 문제점들과 함께 우리는 해당하는 벤더들에게 검증이 마쳐지는 데로 전달할 준비를 하고 있습니다.

The Cash Prizes
상금

All machines will be fully patched and in a default configuration. Simply put, if the vendor shipped it on the box and it's enabled, it's in scope.
모든 기기는 모두 패치 되어있고 기본 설정으로 되어있습니다. 박스에서 꺼내서 사용할수 있고, 범위안에 있습니다(?).

Day 1: March 26th: Remote pre-auth
1일차 : 3/26일 : 원격 사전인증
All laptops will be open only for Remotely exploitable Pre-Auth vulnerabilities which require no user interaction. First one to pwn it, receives the laptop and a $20,000 cash prize.
모든 랩탑은 사용자 인증이 필요없는 exploit가능한 사전인증 취약점을 위한 포트만을 열어둡니다. 가장 먼저 점령하는 사람은 2만 달러의 상금과 함께 노트북을 받게 됩니다.
The pwned machine(s) will be taken out of the contest at that time.
점령 당한 기기는 바로 경기장 밖으로 옮겨집니다.

Day 2: March 27th: Default client-side apps
2일차 : 3/27일 : 기본 설정 어플리케이션들

The attack surfaces increases to also include any default installed client-side applications which can be exploited by following a link through email, vendor supplied IM client or visiting a malicious website. First one to pwn it receives the laptop and a $10,000 cash prize.
공격 범위가 늘어나서 기본적으로 설치된 클라이언트 어플리케이션을 이용해서 이메일등의 링크를 따라가거나 기본 제공 메신저 클라이언트나 악의적인 웹사이트를 방문하는 방법을 포함합니다. 가장 먼저 공격에 성공한 사람은 1만 달러의 상금과 함께 노트북을 받게 됩니다.
The pwned machine(s) will be taken out of the contest at that time.
점령 당한 기기는 바로 경기장 밖으로 옮겨집니다.

Day 3: March 28th: Third Party apps
3일차 : 3/28 : Third Party 어플리케이션들
Assuming the laptops are still standing, we will finally add some popular 3rd party client applications to the scope. That list will be made available at CanSecWest, and will be also posted here on the blog. First to pwn it receives the laptop and a $5,000 cash prize.
만약 아직도 그 랩탑들이 멀쩡하다면 우리는 몇 가지 유명한 서드 파티 클라이언트 어플리케이션을 설치합니다. 그 목록들은 CanSecWest에서 볼 수 있으며 여기 블로그에도 있습니다. 가장 먼저 노트북을 점령하는 사람은 5천달러의 상금과 함께 노트북을 가지게 됩니다.

*To accommodate any individuals who may not have gotten a chance to take a stab at the machines, we'll provide the opportunity onsite for folks to submit their vulns through the normal ZDI process if they'd like to be compensated for their discovery.
* 시도도 하지 못하게 된 사람들을 위해서 그들이 보상을 원한다면 사이트상에서 일반적인 ZDI 진행에 따라 제출할 수 있는 기회를 제공합니다.

The awards ceremony will take place at the end of the day on the 28th. More details and daily results from the contest will be posted here on our blog.  Please feel free to ask questions in the Comments section of this posting and we will try to answer them in a timely manner.
수상식은 행사가 끝나는 28일날 마지막에 진행될 예정입니다. 더욱 자세한 내용은 우리 블로그에 포스팅하겠습니다. 이 포스팅 에 관한 질문이 있다면 댓글로 남겨주시면 적절할 때에 답변해드리도록 하겠습니다.

Update - see our main blog index for the most recent daily updates from the contest.
업데이트- 우리의 블로그 메인 페이지에 가장 최근 소식을 확인하세요.

원문 : http://dvlabs.tippingpoint.com/blog/2008/03/19/cansecwest-pwn-to-own-2008