Abo
  • Services:
Anzeige
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS (Bild: Screenshot / BTC Piñata)

Bug Bounty: Hacker sollen MirageOS auf Schwachstellen prüfen

Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS
Bitcoins als Belohnung für einen erfolgreichen Angriff auf MirageOS (Bild: Screenshot / BTC Piñata)

Ein mit MirageOS betriebener TLS-Server bewacht einen Bitcoin-Schlüssel. Wem es gelingt, ihn dem Server mittels einer Sicherheitslücke zu entlocken, darf 10 Bitcoins behalten. MirageOS ist ein von Grund auf neu entwickeltes Betriebssystem.

Anzeige

Die Entwickler des Betriebssystems MirageOS wollen die Sicherheit ihres Systems testen - und haben sich dafür eine besondere Form des Bug Bountys ausgedacht: Die BTC Piñata. Ein mit MirageOS und dem zum System gehörenden TLS-Stack betriebener Server hat den privaten Schlüssel zu einem Bitcoin-Konto gespeichert. Der Server gibt diesen Schlüssel preis, wenn man erfolgreich eine TLS-Verbindung aufbaut. Allerdings benötigt man dafür ein Zertifikat samt privatem Schlüssel - und diesen privaten Schlüssel bekommt man nicht.

10 Bitcoins als Belohnung

Wenn alles korrekt funktioniert, sollte es in dieser Konstellation unmöglich sein, dem Server den Bitcoin-Schlüssel zu entlocken. Doch alles ist erlaubt: Wer mittels Sicherheitslücken - entweder in MirageOS selbst oder der TLS-Implementierung - den Server dazu bringt, den Schlüssel preiszugeben, kann sich über zur Zeit 10 Bitcoins freuen. Das entspricht nach aktuellem Kurs etwa 2.000 Euro.

MirageOS-Entwickler Amir Chaudhry erläutert in einem Blogbeitrag die Herausforderung. Der Code, der den entsprechenden Server betreibt, ist auf Github verfügbar, ebenso das gesamte MirageOS-System. Auch kann man nachlesen, welche Versionen von den verwendeten Bibliotheken und Programmiersprachen verwendet werden.

Kein Beweis für unhackbares System

Chaudhry schreibt selbst, dass die MirageOS-Entwickler nicht davon ausgingen, dass ein Scheitern aller Angreifer ein Beweis für die Sicherheit des Systems wäre. Er warnt auch explizit davor, dass der TLS-Stack von MirageOS im Moment nicht für sicherheitskritische Systeme eingesetzt werden sollte.

In anderen Fällen waren ähnliche Wettbewerbe in der Vergangenheit öfter kritisiert worden, weil Entwickler ihre Systeme damit als unhackbar beworben hatten. Die MirageOS-Entwickler erhoffen sich aber, im Fall eines erfolgreichen Angriffs etwas zu lernen. Das setzt natürlich voraus, dass ein erfolgreicher Angreifer möglicherweise gefundene Sicherheitsprobleme den MirageOS-Entwicklern auch mitteilt. Die bitten zwar darum, aber natürlich könnte ein Angreifer auch einfach die Bitcoins einsammeln und seine Angriffsstrategie für sich behalten.

Betriebssystem ohne C-Speicherprobleme

MirageOS ist ein in Ocaml geschriebenes Betriebssystem und basiert auf einem Unikernel. Mit zwei Strategien soll das System besonders sicher sein: Durch die Wahl einer Programmiersprache, die ein intelligentes Speichermanagement besitzt, werden typische Memory-Corruption-Bugs von vornherein verhindert. Solche Probleme in der Speicherverwaltung gehören zu den häufigsten Sicherheitslücken in C-Programmen. Durch Virtualisierung können einzelne Systembestandteile von MirageOS abgeschottet werden. Das System besitzt einen eigenen, ebenfalls in Ocaml geschriebenen TLS-Stack für verschlüsselte Netzverbindungen. Auf dem 31C3 hatten die MirageOS-Entwickler David Kaloper und Hannes Mehnert das Projekt in einem Vortrag vorgestellt.

Ihren Sicherheitswettbewerb haben die MirageOS-Entwickler BTC Piñata genannt. Die zehn Bitcoins und der Server wurden vom VPN-Anbieter IPredator gesponsert. Wer den Wettbewerb unterstützen und einen zusätzlichen Anreiz schaffen möchte, kann auf das entsprechende Bitcoin-Konto weiteres Digitalgeld überweisen.


eye home zur Startseite
KonH 12. Feb 2015

Ja, stimmt schon, dass man mit dem CAS nichts mehr lernt, der rechnet sogar wenn man "3...



Anzeige

Stellenmarkt
  1. Computacenter AG & Co. oHG, veschiedene Einsatzorte
  2. Daimler AG, Sindelfingen
  3. Consors Finanz, München
  4. über Nash direct GmbH, Stuttgart


Anzeige
Top-Angebote
  1. 419€ + 3,99€ Versand
  2. (u. a. Battlefield 1 - Revolution Edition 19,99€, Falloit GOTY 16,99€ und Skyrim Special...
  3. 299€ statt 399€

Folgen Sie uns
       


  1. Alexa und Co.

    Wirtschaftsverband sieht Megatrend zu smarten Lautsprechern

  2. Apple TV

    Deutsche TV-App startet mit nur vier Anbietern

  3. King's Field 1 (1994)

    Die Saat für Dark Souls

  4. Anheuser Busch

    US-Brauerei bestellt 40 Tesla-Trucks vor

  5. Apple

    Jony Ive übernimmt wieder Apples Produktdesign

  6. Elon Musk

    Tesla will eigene KI-Chips bauen

  7. Die Woche im Video

    Lauscher auf!

  8. Entlassungen

    Kaufland beendet Online-Lieferservice für Lebensmittel

  9. DigiNetz-Gesetz

    Unitymedia überbaut keine Glasfaser in Fördergebieten

  10. Telekom

    Mobilfunk an neuer ICE-Strecke München-Berlin ausgebaut



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Blade Runner (1997): Die unsterbliche, künstliche Erinnerung
Blade Runner (1997)
Die unsterbliche, künstliche Erinnerung
  1. SNES Classic Mini im Vergleichstest Putzige Retro-Konsole mit suboptimaler Emulation

Umrüstung: Wie der Elektromotor in den Diesel-Lkw kommt
Umrüstung
Wie der Elektromotor in den Diesel-Lkw kommt
  1. LEVC London bekommt Elektrotaxis mit Range Extender
  2. Vehicle-to-Grid Honda macht Elektroautos zu Stromnetz-Puffern
  3. National Electric Vehicle Sweden Der Saab 9-3 ist zurück als Elektroauto

Thinkpad X1 Yoga v2 im Test: LCD gegen OLED
Thinkpad X1 Yoga v2 im Test
LCD gegen OLED

  1. Re: nvidias letzte große teure gpu

    ustas04 | 02:52

  2. Kingdom Come Deliverance feine Sache

    balanceistische | 02:07

  3. Re: Vorbereitung für Völkermord

    Patman | 01:32

  4. Re: Dafür brauchten die einen Test?

    ibecf | 01:29

  5. Re: Warum IoT pöse ist (Kritische Masse)

    freebyte | 01:05


  1. 10:59

  2. 09:41

  3. 08:00

  4. 15:44

  5. 14:05

  6. 13:09

  7. 09:03

  8. 19:18


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel