Anzeige
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS (Bild: Screenshot / BTC Piñata)

Bug Bounty: Hacker sollen MirageOS auf Schwachstellen prüfen

Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS (Bild: Screenshot / BTC Piñata)

Ein mit MirageOS betriebener TLS-Server bewacht einen Bitcoin-Schlüssel. Wem es gelingt, ihn dem Server mittels einer Sicherheitslücke zu entlocken, darf 10 Bitcoins behalten. MirageOS ist ein von Grund auf neu entwickeltes Betriebssystem.

Anzeige

Die Entwickler des Betriebssystems MirageOS wollen die Sicherheit ihres Systems testen - und haben sich dafür eine besondere Form des Bug Bountys ausgedacht: Die BTC Piñata. Ein mit MirageOS und dem zum System gehörenden TLS-Stack betriebener Server hat den privaten Schlüssel zu einem Bitcoin-Konto gespeichert. Der Server gibt diesen Schlüssel preis, wenn man erfolgreich eine TLS-Verbindung aufbaut. Allerdings benötigt man dafür ein Zertifikat samt privatem Schlüssel - und diesen privaten Schlüssel bekommt man nicht.

10 Bitcoins als Belohnung

Wenn alles korrekt funktioniert, sollte es in dieser Konstellation unmöglich sein, dem Server den Bitcoin-Schlüssel zu entlocken. Doch alles ist erlaubt: Wer mittels Sicherheitslücken - entweder in MirageOS selbst oder der TLS-Implementierung - den Server dazu bringt, den Schlüssel preiszugeben, kann sich über zur Zeit 10 Bitcoins freuen. Das entspricht nach aktuellem Kurs etwa 2.000 Euro.

MirageOS-Entwickler Amir Chaudhry erläutert in einem Blogbeitrag die Herausforderung. Der Code, der den entsprechenden Server betreibt, ist auf Github verfügbar, ebenso das gesamte MirageOS-System. Auch kann man nachlesen, welche Versionen von den verwendeten Bibliotheken und Programmiersprachen verwendet werden.

Kein Beweis für unhackbares System

Chaudhry schreibt selbst, dass die MirageOS-Entwickler nicht davon ausgingen, dass ein Scheitern aller Angreifer ein Beweis für die Sicherheit des Systems wäre. Er warnt auch explizit davor, dass der TLS-Stack von MirageOS im Moment nicht für sicherheitskritische Systeme eingesetzt werden sollte.

In anderen Fällen waren ähnliche Wettbewerbe in der Vergangenheit öfter kritisiert worden, weil Entwickler ihre Systeme damit als unhackbar beworben hatten. Die MirageOS-Entwickler erhoffen sich aber, im Fall eines erfolgreichen Angriffs etwas zu lernen. Das setzt natürlich voraus, dass ein erfolgreicher Angreifer möglicherweise gefundene Sicherheitsprobleme den MirageOS-Entwicklern auch mitteilt. Die bitten zwar darum, aber natürlich könnte ein Angreifer auch einfach die Bitcoins einsammeln und seine Angriffsstrategie für sich behalten.

Betriebssystem ohne C-Speicherprobleme

MirageOS ist ein in Ocaml geschriebenes Betriebssystem und basiert auf einem Unikernel. Mit zwei Strategien soll das System besonders sicher sein: Durch die Wahl einer Programmiersprache, die ein intelligentes Speichermanagement besitzt, werden typische Memory-Corruption-Bugs von vornherein verhindert. Solche Probleme in der Speicherverwaltung gehören zu den häufigsten Sicherheitslücken in C-Programmen. Durch Virtualisierung können einzelne Systembestandteile von MirageOS abgeschottet werden. Das System besitzt einen eigenen, ebenfalls in Ocaml geschriebenen TLS-Stack für verschlüsselte Netzverbindungen. Auf dem 31C3 hatten die MirageOS-Entwickler David Kaloper und Hannes Mehnert das Projekt in einem Vortrag vorgestellt.

Ihren Sicherheitswettbewerb haben die MirageOS-Entwickler BTC Piñata genannt. Die zehn Bitcoins und der Server wurden vom VPN-Anbieter IPredator gesponsert. Wer den Wettbewerb unterstützen und einen zusätzlichen Anreiz schaffen möchte, kann auf das entsprechende Bitcoin-Konto weiteres Digitalgeld überweisen.


eye home zur Startseite
KonH 12. Feb 2015

Ja, stimmt schon, dass man mit dem CAS nichts mehr lernt, der rechnet sogar wenn man "3...

Kommentieren



Anzeige

  1. Systemberater/in EAI Plattformen
    Robert Bosch GmbH, Stuttgart
  2. (Junior) Technical Consultant Automotive Vernetzte Dienste (m/w)
    T-Systems on site services GmbH, München, Gaimersheim, Leinfelden-Echterdingen
  3. Medizininformatiker / Fachinformatiker (m/w) für Medizinische Informationssysteme
    Landeskrankenhaus (AöR), Andernach
  4. (Senior-)Berater (m/w) SAP Business Intelligence
    Capgemini Deutschland GmbH, verschiedene Einsatzorte

Detailsuche



Anzeige

Folgen Sie uns
       


  1. Elektroauto

    Supersportwagen BMW i8 soll 400 km rein elektrisch fahren

  2. Keine externen Monitore mehr

    Apple schafft Thunderbolt-Display ersatzlos ab

  3. Browser

    Safari 10 soll auch auf älteren OS-X-Versionen laufen

  4. Dota

    Athleten müssen im E-Sport mehr als nur gut spielen

  5. Die Woche im Video

    Superschnelle Rechner, smarte Zähler und sicherer Spam

  6. Axanar

    Paramount/CBS erlaubt Star-Trek-Fanfilme

  7. FTTH/FTTB

    Oberirdische Glasfaser spart 85 Prozent der Kosten

  8. Botnet

    Necurs kommt zurück und bringt Locky millionenfach mit

  9. Google

    Livestreaming direkt aus der Youtube-App

  10. Autonome Autos

    Fahrer wollen vor allem ihr eigenes Leben schützen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mighty No. 9 im Test: Mittelmaß für 4 Millionen US-Dollar
Mighty No. 9 im Test
Mittelmaß für 4 Millionen US-Dollar
  1. Mirror's Edge Catalyst im Test Rennen für die Freiheit
  2. Warp Shift im Test Zauberhaftes Kistenschieben
  3. Alienation im Test Mit zwei Analogsticks gegen viele Außerirdische

Schulunterricht: "Wir zocken die ganze Zeit Minecraft"
Schulunterricht
"Wir zocken die ganze Zeit Minecraft"
  1. MCreator für Arduino Mit Klötzchen LEDs steuern
  2. Lifeboat-Community Minecraft-Spieler müssen sich neues Passwort craften
  3. Minecraft Befehlsblöcke und Mods für die Pocket Edition

Mikko Hypponen: "Microsoft ist nicht mehr scheiße"
Mikko Hypponen
"Microsoft ist nicht mehr scheiße"

  1. Re: Warum ist Eyeo gut, weil Adblocker gut sind?

    Rulf | 06:14

  2. sind wir hier bei der Bild oder was?

    mitch77 | 06:14

  3. Re: Notoperation...

    User_x | 05:36

  4. Re: wirkt Werbung?

    User_x | 05:29

  5. Re: Und was wollen die jetzt genau damit??

    User_x | 05:22


  1. 14:45

  2. 13:59

  3. 13:32

  4. 10:00

  5. 09:03

  6. 17:47

  7. 17:01

  8. 16:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel