ក្រុមហ៊ុន Google បានដាក់ចេញនូវកម្មវិធី kvmCTF គឺជាគម្រោងផ្តល់ប្រាក់រង្វាន់ចំពោះភាពងាយរងគ្រោះថ្មី (VRP) លើកដំបូងដែលបានប្រកាសកាលពីខែតុលា ឆ្នាំ២០២៣ ដើម្បីអភិវឌ្ឍសុវត្ថិភាពនៃ Kernel-Based Virtual Machine (KVM) Hypervisor ដែលមានទំហំប្រាក់ ២៥០ពាន់ដុល្លារសម្រាប់ទប់ស្កាត់ទៅលើការកេងចំណេញលើ VM ទាំងមូល។
KVM គឺជា Open-Source Hypervisor ដែលបានអភិវឌ្ឍអស់រយៈពេលជាង ១៧ឆ្នាំមកហើយ និងជាសមាសធាតុដ៏សំខាន់នៅក្នុងការកំណត់ (Setting) របស់អតិថិជន រួមទាំងសហគ្រាស ដែលផ្តល់អំណាចឱ្យ Android និង Google Cloud Platforms។ KVM រួមចំណែកយ៉ាងសកម្ម និងជាគន្លឹះដ៏សំខាន់សម្រាប់ក្រុមហ៊ុន Google នៅក្នុងការអភិវឌ្ឍ kvmCTF ដូចជាផ្លេតហ្វមសហប្រតិបត្តិការដើម្បីជួយកំណត់ និងដោះស្រាយភាពងាយរងគ្រោះ ដើម្បីពង្រីកស្រទាប់សុវត្ថិភាពដ៏សំខាន់នេះ។
កម្មវិធីផ្តល់រង្វាន់លើភាពងាយរងគ្រោះ KernelCTF ដូចក្រុមហ៊ុន Google មានគោលដៅលើបញ្ហាសុវត្ថិភាព Linux Kernel ដែល kvmCTF ផ្តោតលើកំហុសដែលអាចកើតមានឡើង VM-Reachable នៅក្នុង Kernel-Based Virtual Machine (KVM) Hypervisor។ គោលដៅដើម្បីប្រតិបត្តិការដោយជោគជ័យគឺចាប់ផ្តើមពី Guest-to-Host និងពី QEME ឬក៏ចាប់ផ្តើមពី Host-to-KVM បើមានភាពងាយរងគ្រោះនិងមិនត្រូវបានផ្តល់រង្វាន់ទេ។ អ្នកស្រាវជ្រាវសុវត្ថិភាពដែលបានចុះឈ្មោះចូលក្នុងកម្មវិធីនេះ ត្រូវបានផ្តល់ជាមួយនឹងមជ្ឈដ្ឋានបន្ទប់ពិសោធដែលត្រូវបានគ្រប់គ្រង (Controlled Lab Environment) ដែលពួកគេអាចប្រើប្រាស់ការកេងចំណេញ ដើម្បីចាប់យកទង់ (Flags) នៃការវាយប្រហារ។ ទោះជាយ៉ាងណា មិនដូចជាកម្មវិធីផ្តល់រង្វាន់ទៅលើភាពងាយរងគ្រោះផ្សេងទេ កម្មវិធី kvmCTF ផ្តោតតែលើភាពងាយរងគ្រោះ Zero-day និងមិនផ្តល់រង្វាន់ចំពោះការកេងចំណេញដែលប្រើភាពងាយរងគ្រោះដែលគេស្គាល់នោះទេ។
រង្វាន់សម្រាប់កម្មវិធី kvmCTF រួមមាន៖
– Full VM Escape: ២៥០ពាន់ដុល្លារ
– Arbitrary Memory Write: ១០០ពាន់ដុល្លារ
– Arbitrary Memory Read: ៥០ពាន់ដុល្លារ
– Relative Memory Write: ៥០ពាន់ដុល្លារ
– Denial of Service: ២០ពាន់ដុល្លារ
– Relative Memory Read: ១០ពាន់ដុល្លារ
ហេដ្ឋារចនាសម្ព័ន្ធ kvmCTF ត្រូវបានបង្ហោះនៅលើមជ្ឈដ្ឋាន Google’ Bare Metal Solution (BMS) Environment ដែលបង្ហាញពីស្តង់ដារសុវត្ថិភាពខ្ពស់របស់កម្មវិធី។ វិស្វករកម្មវិធីក្រុមហ៊ុន Google បានថ្លែងថា អ្នកចូលរួមអាចមានពេលសម្រាប់ចូលដំណើរការ Quest VM និងដើរតួជា Quest វាយប្រហារលើ Host។ គោលដៅនៃការវាយប្រហារត្រូវតែកេងចំណេញលើភាពងាយរងគ្រោះ Zero-day នៅក្នុង KVM Subsystem របស់ Host Kernel។ ប្រសិនបើទទួលបានជោគជ័យ អ្នកវាយប្រហារនឹងទទួលបាន Flag ដែលបង្ហាញពីជោគជ័យរបស់ពួកគេនៅក្នុងការកេងចំណេញលើភាពងាយរងគ្រោះ។ ជាងនេះទៀត ការវាយប្រហារនឹងកំណត់ពីចំនួនរង្វាន់ ដែលអាស្រ័យលើប្រភេទរង្វាន់ដែលបានពន្យល់ខាងលើ។ របាយការណ៍ទាំងអស់នឹងត្រូវបានវាយតម្លៃលើមូលដ្ឋាននៃករណីនីមួយៗ។ ក្រុមហ៊ុន Google នឹងទទួលបានព័ត៌មានលម្អិតនៃការរកឃើញភាពងាយរងគ្រោះ Zero-day នៅក្រោយពេល Patches ខាងលើត្រូវបានបញ្ចេញជាសាធារណៈ។ ដើម្បីចាប់ផ្តើមការប្រកួត អ្នកចូលរួមទាំងអស់ត្រូវ Review ពីច្បាប់របស់កម្មវិធី kvmCTF ជាមុនសិន ដែលរួមមានព័ត៌មានអំពីការកត់រយៈពេល ការភ្ជាប់ទៅ Quest VM ការទទួលបាន Flags ការគូសផែនទីការបំពាន KASAN ផ្សេងៗដើម្បីផ្តល់រង្វាន់តាមថ្នាក់ ក៏ដូចជាការណែនាំលម្អិតស្តីពីការវាយប្រហារទៅលើភាពងាយរងគ្រោះ៕
ប្រភពព័ត៌មាន៖ ថ្ងៃទី០២ ខែកក្កដា ឆ្នាំ២០២៤
