Pwn2Own

Der erste Wettbewerb wurde von Dragos Ruiu erdacht als Reaktion auf seine Frustration nach Apples mangelnder Reaktion auf den „Monat der Apple-Fehler“ und den „Monat der Kernel-Fehler“,^[3] sowie Apples Fernsehwerbung, die die Sicherheit in dem konkurrierenden Windows-Betriebssystem trivialisierte.^[4] Zu dieser Zeit gab es den weit verbreiteten Glauben, dass trotz der Veröffentlichung dieser Sicherheitslücken in den Apple-Produkten das Mac OS X wesentlich sicherer sei als seine Konkurrenten.^[5]

Am 20. März 2007, ca. 3 Wochen vor der CanSecWest, kündigte Ruiu den Pwn2Own-Wettbewerb zur Sicherheitsforschung auf der Mailingliste DailyDave an.^[1] Der Wettbewerb beinhaltete zwei MacBook Pros, welche sich auf der Konferenz befinden würden und die mit ihrem eigenen Wireless-Access-Point verbunden wären. Alle Konferenzteilnehmer konnten sich mit diesem Wireless-Access-Point verbinden und versuchen, bei einem der Geräte eine Schwachstelle auszunutzen. Wem dies gelang, durfte den Laptop mitnehmen. Es gab keine finanzielle Belohnung. Ruiu umriss, dass die Beschränkungen darüber, welche Hacks akzeptabel sind, stufenweise über die drei Konferenztage gelockert würden.

Ruiu fragte am ersten Tag der Konferenz Terri Forslof von der Zero Day Initiative (ZDI), ob er am Wettbewerb teilnehmen würde. ZDI ist weit bekannt in der Sicherheitsindustrie für ihr Programm zum Kauf von Zeroday-Schwachstellen, um diese dann an die betroffenen Hersteller zu melden und um für deren Netzwerk-Eindringling-Detektions-Systeme entsprechende Signaturen zu erstellen, um deren Effektivität zu erhöhen. Die Schwachstellen, die an ZDI verkauft werden, werden erst veröffentlicht, wenn der betroffene Hersteller einen Patch zum Beheben des Problems veröffentlicht hat.^[6] Nach einem Gespräch mit Ruiu stimmte Forslof zu, dass ZDI jede im Wettbewerb gefundene Schwachstelle zu einem festen Preis von 10000 US-Dollar kaufen wird.^[7]