Schon seit 2007 findet regelmäßig der Hackerwettbewerb Pwn2Own statt. Dieser ist inzwischen ein fester Bestandteil der Sicherheitskonferenz CanSecWest, sodass jedes Jahr unzählige IT-Sicherheitsexperten vor Ort sind und über die neusten Exploits sowie Hacks sprechen, die dann beim Pwn2Own eindrucksvoll zum Einsatz kommen.
Da auch wir gewissermaßen Hacker sind und Hacks und Epxloits nutzen, um IT-Systeme für unsere Kunden umfangreich auf Sicherheitsrisiken zu testen, dachten wir, ein Blick auf den Wettbewerb Pwn2Own ist durchaus von Interesse. Wir selbst verfolgen ihn jährlich mit viel Leidenschaft, da er immer wieder interessante Ergebnisse und Möglichkeiten hervorbringt. Schlussendlich geht es im Bereich der Sicherheit auch darum, stets auf dem neuesten Stand zu sein und so auch die aktuellsten Technologien im Zuge von Pentests von Co entsprechend berücksichtigen zu können.
Gemeinsam mit Ihnen werden wir uns den Hackerwettbewerb Pwn2Own daher einmal genauer ansehen, bisherige Ergebnisse aufzeigen und die Notwendigkeit solcher Veranstaltungen ein wenig aufschlüsseln. Denn ohne derartige Wettbewerbe würde es weit weniger interessante Ergebnisse geben, die dann auch der IT-Sicherheit im Allgemeinen zugutekommen.
So läuft die CanSecWest im Detail ab
Wie bereits erwähnt, findet der Pwn2Own stets am Rande der CanSecWest, einer international recht bedeutsamen Sicherheitskonferenz, statt. Die Herausforderung beim Pwn2Own ist es, bei weitverbreiteter Software und populären Systemen entsprechende Schwachstellen auszumachen, die bislang noch als unentdeckt gelten.
Als Preisgeld für den Sieger gibt es dabei eine zuvor festgelegte Summe sowie das gehackte Gerät, dessen Software erfolgreich geknackt wurde. Außerdem gibt es eine Jacke mit der Aufschrift »Masters« als unterhaltsame Wertschätzung der erbrachten Leistung. Sie merken schon, der Pwn2Own ist ein ziemlicher unterhaltsamer Hackerwettbewerb, der sich nicht übertrieben ernst nimmt und der Community daher gut gefällt.
Der Name vom Pwn2Own leitet sich dabei aus zwei klassischen Internetbegriffen (Leetspeak) ab und spielt zugleich mit typischen Schreibweisen im Netz. Da wäre »PWN«, welches für das Hacken steht. Die Zahl »2«, die für das Englische »to« eingesetzt ist. Sowie »OWN«, für das Besitzen, in diesem Fall eher das Fertigmachen. Allgemein werden »PWNED« und »OWNED« meist für Memes benutzt, bei denen jemand besiegt oder sogar dominiert wird. Auch im Gaming sind beide Begriffe häufig im Einsatz.
Start des Pwn2Own und erste Ziele
Schöpfer Dragos Ruiu erdachte den Hackerwettbewerb vor allem, weil er sich damals von Apple provoziert fühlte. Die taten zur damaligen Zeit nämlich so, als sei ein Apple-Rechner pauschal sicherer als ein Windows-Rechner. Allgemein herrschte damals dieser Glaube. Also stellte er am Rande der Sicherheitskonferenz CanSecWest zwei MacBooks mit eigenem Wireless-Access-Point auf und erklärte, dass alle Teilnehmer der CanSecWest sich mit dem Wireless-Access-Point verbinden und die MacBooks hacken könnten.
Preisgelder oder Ähnliches gab es beim ersten Pwn2Own somit nicht. Ruiu stellte jedoch klar, dass derjenige, dem ein erfolgreicher Hack gelang, das MacBook Pro mitnehmen und behalten dürfe. Über die drei Tage der CanSecWest sollten dabei täglich die Beschränkungen für akzeptable Hacks gelockert werden. Die Zero Day Initiative (ZDI) konnte dabei ebenfalls mit ins Boot geholt werden. Sie kauften gefundene Schwachstellen zu einem Festpreis von 10.000 US-Dollar.
Aufgrund dieser Basis ist es kaum verwunderlich, dass im Jahr 2007 zweimal der Quicktime Player und 2008 dreimal der Safari Browser Ziel der Exploits wurden. Und so entstand der Pwn2Own, der seitdem auf jeder CanSecWest stattfindet und mit seinen oft bedeutsamen Hacks mitunter für viel Aufsehen innerhalb der Szene sorgt.
Tesla-Hack auf dem Pwn2Own Automotive
Für besonders großes Interesse sorgte etwa der Pwn2Own 2024, bei dem erstmals ein Fokus auf die Digitalität moderner Fahrzeuge gelegt wurde. Statt den üblichen Verdächtigen galt es beim Pwn2Own 2024 also, einen Tesla zu hacken und erfolgreich in das System des Elektroautos einzudringen. Das gelang den Teilnehmern auch, die sich Zugang zum Modem und Infotainmentsystem des Fahrzeugs verschaffen konnten.
Das ZDI zahlte bei dem Wettbewerb insgesamt 1.323.750 US-Dollar an die Teilnehmer aus, wovon Synacktiv als Gewinnerteam immerhin 450.000 US-Dollar an Preisgeldern einsammeln konnten. Insgesamt wurden bei diesem Pwn2Own 49 einzigartige Zero-Days entdeckt. Den Tesla Model 3 durften die Mitglieder von Synacktiv natürlich, wie üblich beim Pwn2Own, ebenfalls behalten.
Für den Sieg verkette Synacktiv bereits am ersten Tag drei Schwachstellen miteinander und sicherte sich damit anschließend einen Root-Zugriff auf dem im Tesla verbauten Modem. Danach gelangen ihnen weitere Hacks auf EV-Ladestationen. Nur um dann, am zweiten Tag des Pwn2Own Automotive, durch Ausnutzung zweier Zero-Day-Schwachstellen auch noch das Infotainmentsystem erfolgreich zu hacken.
Hacken führt immer zu mehr Sicherheit
Wie üblich beim Pwn2Own, blieben alle Details zu den Hacks zunächst einmal unter Verschluss. Aus nachvollziehbaren Sicherheitsgründen wird den Herstellern zunächst 90 Tage Zeit eingeräumt, die Schwachstellen zu beseitigen. Erst danach folgen weitere Informationen zum beim Pwn2Own erfolgten Hack. So war es auch beim Pwn2Own Automotive und dem Tesla-Hack, der allgemein für viel Aufsehen sorgte.
Für Hersteller sind solche Wettbewerbe jedoch, genau wie Bug Bounty Programme, regelrecht Gold wert. Hacker haben hier die größtmögliche Motivation, die eigenen Systeme zu knacken, erbringen infolgedessen aber unsagbar wichtige Leistungen, mit denen die bestehenden Schwachstellen geschlossen werden können. Natürlich, ehe sie kriminelle Hacker in die Finger bekommen und ausnutzen können.
Auch wir »hacken« uns in die Systeme unserer Kunden ein, um für sie typische Schwachstellen zu entdecken. Ähnlich wie bei einem Hackerwettbewerb führen wir dabei gezielte Angriffe aus, wie sie auch von böswilligen Akteuren verwendet werden. Auf diese Weise entdecken wir Sicherheitslücken in IT-Systemen, noch lange bevor sie von einem möglichen Angreifer entdeckt werden können
Wichtigkeit von Hackern in der IT-Szene
Im vorangegangenen Absatz haben wir bereits aufgezeigt, warum Wettbewerbe wie der Pwn2Own so ungemein wichtig sind. Oft stehen Veranstaltungen wie diese, aber auch Hacker im Allgemeinen, im Fokus einer Kontroverse und ethischen Kritik. Würden sie keine Sicherheitslücken aufdecken und kommunizieren, wären viele Systeme sicherer, heißt es dann oft. Ein totaler Irrsinn, denn ethische Hacker kommunizieren diese Sicherheitslücken an die Hersteller, die selbige somit schließen können. Sie helfen also aktiv mit, IT-Systeme sicherer zu gestalten.
Ohne die gutartigen Hacker gäbe es nur bösartige Akteure. Wenn es keine ethischen Hacker mehr gibt, bleiben nur diejenigen mit kriminellen Energien. Die jedoch werden viel schneller fündig, da es unzählige, bislang unentdeckte, Schwachstellen gibt, die für viele Angreifer recht offensichtlich sind. Sie merken es schon, nicht wahr? Ohne kontrollierte Hacks auf Ihre IT-Infrastruktur können Sie auch Ihre IT-Sicherheit nicht verbessern.
Hacker sind somit unglaublich wichtig für den Erfolg und die Sicherheit Ihres Unternehmens. Verteufeln Sie diese nicht, sondern nutzen Sie ihre Fähigkeiten für Ihre eigenen Zwecke. Auch wir betreiben Ethical Hacking, um unseren Kunden das gutartige Hacking in Form gesonderter Pentests anzubieten. Fragen Sie dies gerne bei uns an, wenn Sie mit Ihrem Unternehmen davon profitieren möchten.
