'Mayhem' won een DARPA-wedstrijd door zijn rivalen te hacken vóór DEF CON

Een systeem genaamd Mayhem is uitgeroepen tot de aanmatigende winnaar van een baanbrekende nieuwe competitie die machine tegen machine plaatst. De Cyber ​​Grand Challenge (CGC), geleid door het DARPA-lab van het Amerikaanse Ministerie van Defensie, beschreef zichzelf als de eerste wereldwijde hackwedstrijd ter wereld. Het spel omvatte geen menselijke interactie - de systemen werden uitgedaagd om bugs te ontdekken, op te lossen en te exploiteren in seconden die maandenlang onontdekt konden zijn.

Het CGC eindigde donderdagavond voor de grote DEF CON hacking-conventie in een grote finale in Las Vegas. Het einde van een driejarige competitie, de hoofdprijs van het CGC van $ 2 miljoen cash, dreef enkele van de beste geesten in cybersecurity om alles te geven.

Mayhem zal naar verwachting worden uitgenodigd om vrijdag tegen DEF CON te strijden tegen mensen. Het is de eerste keer dat een machine heeft deelgenomen aan DEF CON's "Capture the Flag" -wedstrijd.

"Dit is mogelijk het einde van de Cyber ​​Grand Challenge van DARPA, maar het is nog maar het begin van een revolutie in softwarebeveiliging," zei Mike Walker, de DARPA-programmamanager die de uitdaging in 2013 is aangegaan, in een verklaring.

In de CGC deden zeven volledig geautomatiseerde systemen mee aan een finale met 96 ronden die bijna 10 uur duurde. In die tijd analyseerden ze speciaal geschreven programma's, probeerden ze fouten te vinden die ervoor zorgden dat ze 'stierven' en herstelden ze. Tegelijkertijd wilden systemen de fouten van hun rivalen uitbuiten voordat ze konden verdedigen.

Professor David Brumley, mede-oprichter van Mayhem's team ForAllSecure, is een gepassioneerde voorstander van het CGC. In een blogpost voorafgaand aan de finale legde hij uit dat de concurrentie onderzoekers de kans biedt om de beste manieren te vergelijken, contrasteren en uit te werken die systemen zichzelf automatisch zouden kunnen oplossen.

Team @ForAllSecure met nog een dag voor de #DARPACGC-wedstrijd. pic.twitter.com/FkjRMQUhFD

- David Brumley (@thedavidbrumley) 3 augustus 2016

"Denk er eens over: als we computers zouden kunnen ontwikkelen die automatisch kwetsbaarheden zouden kunnen vinden, dan zouden de goeden ze eerst kunnen repareren," zei Brumley.

ForAllSecure legde uit dat het winnende systeem Mayhem eigenlijk in twee delen werkt: de Mayhem-symbolische uitvoerder en een geregisseerde fuzzer genaamd Murphy (genoemd naar de kat van teamlid John Davis). In tegenstelling tot de langzamere analyse van de symbolische uitvoerder, testen fuzzers programma's door hen grote hoeveelheden willekeurige gegevens te geven. Murphy is geweldig om snel bugs te vinden, waardoor Mayhem diepere, complexere problemen kan vinden. De twee praten met elkaar via een database en vergelijken de resultaten.

Mayhem heeft misschien de strijd gewonnen, maar het is nog maar het begin. De doorbraak heeft de potentie om industrieën te revolutioneren - DARPA schat dat exploits gemiddeld ongeveer 10 maanden lang onontdekt blijven.

"Op dezelfde manier dat de eerste vlucht van de gebroeders Wright - hoewel het niet ver ging - een reeks gebeurtenissen op gang heeft gebracht die de wereld snel een veel kleinere plaats hebben gemaakt, hebben we nu voor het eerst een autonomie gezien van het soort redenering die nodig is voor cyberdefensie, "zei Walker. "Dat is een enorme vooruitgang ten opzichte van de wereld waar gisteren cyberdefensie plaatsvond."