La Copa Tianfu pone a prueba la seguridad de hardware y software

La Copa Tianfu es un evento de hacking análogo al popular Pwn2Own. Se inició en 2018 tras una regulación gubernamental en China que prohibía a los investigadores de seguridad del país participar en competiciones internacionales de hacking debido a «preocupaciones de seguridad nacional».

La edición de 2020 se ha celebrado el pasado fin de semana en China y hackers de sombrero blanco de 15 equipos diferentes usaron vulnerabilidades originales para hackear software y dispositivos ampliamente utilizados atacándolos con exploits que debían ejecutarse en 5 minutos en tres intentos.

11 de los 16 objetivos propuestos en la Copa Tianfu se resolvieron con 23 demostraciones exitosas y en concreto las siguientes:

• Lector de PDF de Adobe
• Apple iPhone 11 Pro con iOS 14 y navegador Safari
• Router ASUS RT-AX86U
• S:O CentOS 8
• Edición comunitaria de Docker
• Google Chrome
• Microsoft Windows 10 v2004
• Mozilla Firefox
• Samsung Galaxy S20 con Android 10
• Router TP-Link TL-WDR7660
• Hipervisor VMware ESXi

La idea es usar varios navegadores web para navegar a una URL remota o usar un fallo en el software para controlar el navegador o el sistema operativo subyacente. Entre los premiados, destaca el Instituto de Investigación de Vulnerabilidad de Qihoo 360 que ocupó el primer lugar con 744.500 dólares en premios, seguido por Ant-Financial Light-Year Security Lab con 258.000 dólares.

Lo más importante de la Copa Tianfu, como los del resto de eventos de este tipo que se celebran en el calendario anual, es el descubrimiento de vulnerabilidades avanzadas en un entorno controlado, ya que los proveedores reciben información de las mismas antes de que se hagan públicas. Igual de importantes son los programas de recompensas por encontrar vulnerabilidades y que hoy tienen en marcha todos los grandes fabricantes.

Entre las vulnerabilidades aprovechadas por los exploits, destaca una que afecta al kernel de Window 10 2004, la edición de primavera del sistema operativo, la edición más popular del escritorio informático ya que está instalada en decenas de millones de equipos. Se espera que en los próximos días Microsoft y el resto de proveedores publique parches para corregir las vulnerabilidades presentadas en la Copa Tianfu.