De beveiligingsmaatregelen van Windows 7 zullen hackers niet voor altijd op afstand houden, dat zei Microsoft als reactie op de Pwn2Own hackerwedstrijd. Tijdens het evenement wisten beveiligingsonderzoekers Peter Vreugdenhil en 'Nils' het besturingssysteem via een lek in Internet Explorer 8 en Firefox 3.6 over te nemen. Daarbij omzeilden ze de Data Execution Prevention (DEP) en Address Space Layout Randomization (ASLR) beveiligingsmaatregelen. Toch zijn dit twee belangrijke manieren om exploits te dwarsbomen, aldus IE product manager Pete LePage.

"Defense in depth technieken zijn niet bedoeld om alle aanvallen voor altijd te voorkomen, maar maken het lastig om een lek te misbruiken", zei LePage. DEP voorkomt het uitvoeren van aanvalscode in delen van het geheugen waar dit niet is toegestaan. ASLR wisselt belangrijke plekken in het geheugen, waardoor het lastiger voor een aanvaller is om te bepalen of de aanvalscode wordt uitgevoerd.

Kluis
LePage vergelijkt het met brandvrije kluizen. Zonder defense in depth kan een brandvrije kluis de inhoud voor zo'n twee uur beschermen. Een sterkere brandvrije kluis met verschillende defense in depth technieken garandeert nog steeds niet dat de inhoud voor altijd beschermd blijft, maar voegt wel behoorlijke tijd toe aan de bescherming ervan."

Volgens LePage blijven defense in depth features, zoals DEP en ASLR, dan ook een zeer effectief beveiligingsmechanisme." Toch had de Nederlandse onderzoeker Vreugdenhil er niet al teveel moeite mee. Binnen zes tot zeven uur had hij zijn exploit aan de praat. Hieronder een video van de aanval.