Tavis Ormandy es un hacker de sombrero blanco de seguridad informática inglés . Actualmente es empleado de Google como parte de su equipo Project Zero . [1]
Descubrimientos notables
A Ormandy se le atribuye el descubrimiento de graves vulnerabilidades en Libtiff , [2] el software antivirus de Sophos [3] y Microsoft Windows . [4] Con Natalie Silvanovich , descubrió una vulnerabilidad grave en los productos FireEye en 2015. [5]
Sus hallazgos con los productos de Sophos lo llevaron a escribir un artículo de 30 páginas titulado "Sophail: ataques aplicados contra Sophos Antivirus" en 2012, que concluye que la empresa estaba "trabajando con buenas intenciones" pero "mal equipada para manejar el resultado". de un investigador de seguridad cooperativa que trabaja en su tiempo libre "y que sus productos no deberían utilizarse en sistemas de alto valor". [6]
También creó un exploit en 2014 para demostrar cómo una vulnerabilidad en glibc conocida desde 2005 podría usarse para obtener acceso de root en una máquina afectada que ejecuta una versión de 32 bits de Fedora . [7]
En 2016, demostró múltiples vulnerabilidades en Trend Micro Antivirus en Windows relacionadas con Password Manager, [8] y vulnerabilidades en los productos de seguridad de Symantec .
En febrero de 2017, encontró e informó de un error crítico en la infraestructura de Cloudflare que filtraba datos confidenciales del usuario junto con solicitudes que afectaban a millones de sitios web en todo el mundo, lo que se conoce como Cloudbleed (en referencia al error Heartbleed que Google co-descubrió ). [9]
Referencias
- ^ Greenberg, Andy (15 de julio de 2014). "Conoce a 'Project Zero', el equipo secreto de Google de piratas informáticos cazadores de errores" . Wired.com . Consultado el 4 de enero de 2015 .
- ^ Constantin, Lucian (30 de diciembre de 2014). "¡Eh, desarrolladores! Esas bibliotecas de software no siempre son seguras de usar" . Computerworld . Consultado el 5 de enero de 2015 .
- ^ Greenberg, Andy (4 de agosto de 2011). "El investigador de Google expone fallas en el software de Sophos, industria del antivirus Slams" . Forbes . Consultado el 15 de agosto de 2016 .
- ^ Keizer, Gregg (23 de mayo de 2013). "El ingeniero de Google critica el manejo de los investigadores de seguridad de Microsoft, revela el día cero de Windows" . Computerworld . Consultado el 5 de enero de 2015 .
- ^ Ormandy, Tavis (15 de diciembre de 2015). "Proyecto cero: explotación de FireEye: vulnerabilidad de la bestia del proyecto cero" . Proyecto cero . Consultado el 11 de mayo de 2017 .
- ^ Tung, Liam (6 de noviembre de 2012). "Investigador de seguridad de Google: Mantenga a Sophos alejado de los sistemas de alto valor" . CSO Online . Consultado el 5 de enero de 2015 .
- ^ Evans, Chris (25 de agosto de 2014). "Proyecto cero: el byte NUL envenenado, edición de 2014" . Proyecto cero . Consultado el 11 de mayo de 2017 .
- ^ Goodin, Dan (11 de enero de 2016). "El investigador de seguridad de Google critica a TrendMicro por defectos críticos de AV" . Ars Technica . Consultado el 4 de febrero de 2016 .
- ^ "Informe de incidente sobre pérdida de memoria causada por error del analizador de Cloudflare" . Consultado el 23 de febrero de 2017 .
enlaces externos
- Página web oficial
- Tavis Ormandy en Twitter
- Publicaciones de Tavis Ormandy indexadas por Google Scholar
- "Sophail: ataques aplicados contra Sophos Antivirus" : artículo de Ormandy sobre las inseguridades en los productos de Sophos