Pwn2Own 2018: ブラウザのハッキングが困難になるにつれ、カーネルエクスプロイトへの注目が変化

人気のブラウザハッキングコンテスト「Pwn2Own 2018」が本日終了しました。今年のコンテストは参加者数が大幅に減少したようです。これは、中国が自国のセキュリティ研究者（過去に複数回優勝経験あり）に対し、Pwn2Ownへの参加と外国人へのセキュリティ脆弱性の開示を禁止したためです。

中国チームの不在は明白

トレンドマイクロのゼロデイ・イニシアチブのディレクター、ブライアン・ゴレンク氏は、過去数年間Pwn2Ownコンテストを後援してきたが、最近、「一部の国」では自国のセキュリティ研究者が国際的なエクスプロイトコンテストに参加することを許可しなくなったと述べた。ゴレンク氏の同僚の一人は後に、彼が言及していたのは中国のことだったとサイバースクープに説明した。

この新たな変更により、今年のPwn2Ownコンテストでは、人気ブラウザに対するエクスプロイトの成功件数が大幅に減少したようです。実際、今年はChromeのハッキングを試みた人さえいませんでした。これは、Chromeが歴史的にエクスプロイト対策が困難であったことと、コンテストに参加する研究者が少なすぎたことが原因と考えられます。

今年のブラウザの動向

Chrome以外にも、今年最も悪用されたブラウザと思われるAppleのSafariに対しては4件の攻撃が行われました。そのうち2件は成功しました。MicrosoftのEdgeブラウザに対しては（Pwn2Ownの長年の参加者である同じ研究者、Richard Zhu氏による）3件の攻撃が行われました。成功したのは1件だけでした。

Zhu氏はWindowsカーネルの脆弱性を利用してFirefoxへの攻撃も試み、初回で成功しました。2年前、FirefoxはPwn2Ownコンペティションで姿を消しました。主催者はブラウザがハッキングされやすくなりすぎていると考えたためだと言われています。昨年、Firefoxはすでに部分的なサンドボックス化を有効化しており、同コンペティションで最もハッキングされたブラウザであるEdgeよりも良い成績を収めました。

2018年、Firefoxは「最適な」サンドボックスアーキテクチャと、昨年の部分的なサンドボックス化から改善された機能を備え、さらに充実したセキュリティ対策を講じました。しかし、このサンドボックスに対する攻撃は1件しかなかったため、ブラウザのセキュリティが実際にどの程度向上したかを判断するのは困難です。

カーネルエクスプロイト：ブラウザハッカーの新たな「頼みの綱」

Zhu氏はFirefoxをハッキングするためにWindowsカーネルの脆弱性を利用する必要がありました。これは、Firefoxのサンドボックスが機能していることを示しています。現在ブラウザが使用しているOSレベルのサンドボックス技術のほとんどは、カーネルの脆弱性を悪用することで回避できます。しかし、Microsoftはより制限の厳しいサ​​ンドボックスと仮想化モードの開発に取り組んでおり、Windows 10の将来のビルドで利用可能になる予定です。

カーネルエクスプロイトも今年のコンテストのテーマとなっているようです。Safari、Edge、Firefoxのセキュリティを突破することに成功したエクスプロイトはすべて、OSカーネルの欠陥やその他のサンドボックス回避を悪用していました。これは、マルウェア開発者がブラウザを通じてユーザーをハッキングするためには、より高いセキュリティハードルを突破する必要があることを示しています。そして、OS開発者はカーネルセキュリティにさらに注力する必要があることを示しています。

Linux、macOS、Windowsなど、OSカーネルのコード行数は数百万行に上るため、バグの可能性は多くの人が考える以上に大きいと言えます。Microsoftは最近、Linux開発者と同様にカーネルセキュリティにますます力を入れており、これはGoogleの支援も一因となっています。Googleは、主流のLinuxカーネルにより多くのアンチエクスプロイト技術を組み込むことを目指すLinuxカーネルセルフプロテクション（KSP）プロジェクトを支援しています。これに先立ち、GoogleはAndroid上でもLinuxカーネルのロックダウンを強化し始めていました。

今年は中国チームの不参加がPwn2Ownコンテスト主催者を驚かせたかもしれないが、来年はより熾烈な競争が予想される。しかし、ベンダーが自社製品のバグ発見により多くの研究者を動員したいのであれば、まずは個々のエクスプロイトに対する報奨金を増額する必要があるだろう。ブラウザのサンドボックスが改良されるにつれ、ブラウザのセキュリティを突破することがより困難になっているように見えるため、企業は研究者のモチベーションを高めるために一層の努力を払う必要があるだろう。