VUPEN tým, vlevo Chaouki Bekrar

Vupen do roku 2010 pracoval stylem typických white-hat hackerů. To znamená, že všechny odhalené zranitelnosti poslušně firma hlásila ihned vendorům. Bohužel to byl v té době moc pokrokový přístup a většina vendorů podle Bekrara neměla výhodně nastavené programy odměn za nahlášené chyby, případně odmítala odměňovat úplně. Z finančního hlediska proto bylo výhodnější poskytovat exploity zákazníkům, k čemuž se VUPEN vzápětí uchýlil. Od té doby distribuuje pod silným NDA exploity do své sítě odběratelů, která zahrnuje i několik vlád NATO, a podle všeho vydělává těžký balík.

“Věřím, že naše odvětví je dnes normální byznys,” říká Bekrar. “Hodně firem, většina ve Spojených státech, teď dělá stejný výzkum jako VUPEN a prodává jej vládním zákazníkům. Je to běžná věc, nic překvapivého. […] Žádný z našich exploitů nikdo nikdy na internetu neobjevil. Všichni naši zákazníci používají naše exploity cíleným způsobem pro specifické mise národní bezpečnosti.”

Jaké takové “specifické mise” mohou být se můžeme jen domnívat, každopádně předmět tohoto obchodu - exploit - můžeme s čistým svědomím přirovnat ke zbrani v kybernetickém světě. Narozdíl od krásně provedené Winchestrovky si ale exploit proti Firefoxu těžko vystavíte na své lovecké chatě. Na druhou stranu můžeme spekulovat o využití exploitů k obraně vlastní sítě - budu se bránit proti státu X, který je v odběratelské síti VUPENu stejně jako já. Odběratelé se tak mohou držet v šachu, kdo je mimo tento kruh má smůlu => VUPEN bohatne. Zvláštní svět.

Na soutěži také VUPENu podlehl Adobe Reader a Flash v Internet Exploreru 11 na aktualizovaném Windows 8.1 64bit. Každý exploit ocenili lidé z Adobe na 75 000 dolarů (cca 1,5 miliónu korun). 

Zajímavosti: Po úspěšném zneužití chyb, které probíhá živě na konferenci, jdou výzkumníci a vendoři na první mítink do tzv. Chamber of exploits (komnata exploitů), kde dohadují finanční odměny a podepisují NDA. | Letošního ročníku Pwn2Own se mimo jiné zúčastnil také George Hotz, který je známý především moddingem Playstationu a mobilního iOSu od Applu, kde údajně chvíli pracoval. Úspěšně letos pokořil Firefox a odnesl si 50 000 dolarů (1 milión korun). | Soutěž sponzoruje a pomáhá organizovat přes iniciativu Zero Day Initiative firma HP. 

Expert na pokročilé hrozby, firma FireEye, vstoupila oficiálně na český trh. FireEye začátkem roku oznámil akvizici expertů na incident response - firmy Mandiant, která je u nás známá především díky svému reportu APT One publikovanému začátkem minulého roku ohledně čínské špionáže v amerických firmách. Díky akvizici, která podle oficiálního vyjádření pramení z dlouhodobé spolupráce, vzniká skutečně zajímavý subjekt, který bude bez pochyby specialistou na pokročilé hrozby a incident response. 

Spoluzakladatel Facebooku a jeho CEO, Mark Zuckerberg, vyjádřil na své stránce nelibost k aktuálnímu přístupu NSA ke kauzám zásahu do soukromí. Jak píše Dennis Fisher, je sice vcelku úsměvné číst stížnosti na zásahy do soukromí od šéfa firmy, která obchoduje s osobními informacemi, ale na druhou stranu je v “hlase” Marka cítit znepokojení a bezradnost. 

Těžká doba dohnala Marka mimo jiné k tomu, že si zavolal s prezidentskou kanceláří Baracka Obamy, který mu náladu rozhodně nezlepšil. Podle všeho NSA ani neplánuje nijak výrazně změnit své chování. Veřejné odhalení některých praktik evidentně není dostatečný důvod ke změně. Bezradnost přiměla Fishera ke komentáři internetového světa, kde si nebral servítky, mohli bychom jej označit až za buditelský: