Un atac de dia zero (també conegut com a dia 0) és una vulnerabilitat o forat de seguretat en un sistema informàtic desconegut pels seus desenvolupadors o per qualsevol persona capaç de mitigar-lo. Fins que la vulnerabilitat no es corregeixi, els actors amenaçadors la poden explotar en un atac de dia zero.
El terme "dia zero" originalment es referia al nombre de dies des que es llançava al públic un nou programari, de manera que el "programari de dia zero" s'obtenia piratejant l'ordinador d'un desenvolupador abans del seu llançament. Finalment, el terme es va aplicar a les vulnerabilitats que permetien aquest pirateig i al nombre de dies que el proveïdor ha tingut per solucionar-les. Els proveïdors que descobreixen la vulnerabilitat poden crear pegats o aconsellar solucions alternatives per mitigar-la, tot i que els usuaris han d'implementar aquesta mitigació per eliminar la vulnerabilitat als seus sistemes. Els atacs de dia zero són amenaces greus.
Definició Malgrat l'objectiu dels desenvolupadors d'oferir un producte que funcioni completament com està previst, pràcticament tot el programari i maquinari contenen errors. Si un error crea un risc de seguretat, s'anomena vulnerabilitat. Les vulnerabilitats varien en la seva capacitat de ser explotades per actors maliciosos. Algunes no es poden utilitzar en absolut, mentre que d'altres es poden utilitzar per interrompre el dispositiu amb un atac de denegació de servei. Les més valuoses permeten a l'atacant injectar i executar el seu propi codi, sense que l'usuari en sigui conscient. Tot i que el terme "dia zero" es referia inicialment al temps des que el proveïdor havia tingut coneixement de la vulnerabilitat, les vulnerabilitats de dia zero també es poden definir com el subconjunt de vulnerabilitats per a les quals no hi ha cap pegat ni altra solució disponible. Un exploit de dia zero és qualsevol exploit que s'aprofita d'aquesta vulnerabilitat.
Exploits Un exploit és el mecanisme de lliurament que aprofita la vulnerabilitat per penetrar als sistemes de l'objectiu, amb finalitats com ara interrompre operacions, instal·lar programari maliciós o exfiltrar dades. Els investigadors Lillian Ablon i Andy Bogart escriuen que "se sap poc sobre el veritable abast, ús, benefici i perjudici dels exploits de dia zero". Els exploits basats en vulnerabilitats de dia zero es consideren més perillosos que els que aprofiten una vulnerabilitat coneguda. Tanmateix, és probable que la majoria dels ciberatacs utilitzin vulnerabilitats conegudes, no de dia zero.
Els governs dels estats són els principals usuaris d'exploits de dia zero, no només per l'alt cost de trobar o comprar vulnerabilitats, sinó també pel cost significatiu d'escriure el programari d'atac. No obstant això, qualsevol pot utilitzar una vulnerabilitat, i segons una investigació de la RAND Corporation, "qualsevol atacant seriós sempre pot obtenir un atac de dia zero assequible per a gairebé qualsevol objectiu". Molts atacs dirigits i la majoria d'amenaces persistents avançades es basen en vulnerabilitats de dia zero.
El temps mitjà per desenvolupar un exploit a partir d'una vulnerabilitat de dia zero es va estimar en 22 dies. La dificultat de desenvolupar exploits ha anat augmentant amb el temps a causa de l'augment de les funcions antiexplotació en el programari popular.
Finestra de vulnerabilitat miniatura|Cronologia de vulnerabilitats Les vulnerabilitats de dia zero sovint es classifiquen com a vives, és a dir, que no hi ha coneixement públic de la vulnerabilitat, i mortes, és a dir, que la vulnerabilitat s'ha divulgat però no s'ha aplicat cap pedaç. Si els mantenidors del programari busquen activament vulnerabilitats, es tracta d'una vulnerabilitat viva; aquestes vulnerabilitats en programari no mantingut s'anomenen immortals. Les vulnerabilitats zombi es poden explotar en versions anteriors del programari, però s'han aplicat pedaços en versions més noves.
Fins i tot les vulnerabilitats públicament conegudes i les vulnerabilitats zombi sovint són explotables durant un període prolongat. Els pegats de seguretat poden trigar mesos a desenvolupar-se, o potser no es desenvoluparan mai. Un pegat pot tenir efectes negatius sobre la funcionalitat del programari i els usuaris poden haver de provar el pegat per confirmar la funcionalitat i la compatibilitat. Les organitzacions més grans poden no identificar i aplicar pegats a totes les dependències, mentre que les empreses més petites i els usuaris personals poden no instal·lar pegats.
La recerca suggereix que el risc de ciberatac augmenta si la vulnerabilitat es fa pública o es publica un pegat. Els ciberdelinqüents poden aplicar enginyeria inversa al pegat per trobar la vulnerabilitat subjacent i desenvolupar exploits, sovint més ràpid que els usuaris instal·len el pegat.
Segons una investigació de RAND Corporation publicada el 2017, els exploits de dia zero es poden utilitzar durant una mitjana de 6,9 anys, tot i que els comprats a tercers només es poden utilitzar durant una mitjana d'1,4 anys. Els investigadors no van poder determinar si alguna plataforma o programari en particular (com ara el programari de codi obert) tenia alguna relació amb l'esperança de vida d'una vulnerabilitat de dia zero. Tot i que els investigadors de RAND van descobrir que el 5,7% d'un arsenal de vulnerabilitats secretes de dia zero haurà estat descobert per algú altre en el termini d'un any, un altre estudi va trobar una taxa de solapament més alta, de fins al 10,8% al 21,9% per any.
Contramesures Com que, per definició, no hi ha cap pegat que pugui bloquejar una vulnerabilitat de dia zero, tots els sistemes que utilitzen el programari o maquinari amb la vulnerabilitat estan en risc. Això inclou sistemes segurs com ara bancs i governs que tenen tots els pegats actualitzats. Els sistemes de seguretat es dissenyen al voltant de vulnerabilitats conegudes, i les explotacions repetides d'una vulnerabilitat de dia zero podrien continuar sense ser detectades durant un període de temps prolongat. Tot i que hi ha hagut moltes propostes per a un sistema que sigui eficaç per detectar vulnerabilitats de dia zero, aquesta continua sent una àrea de recerca activa el 2023.
Moltes organitzacions han adoptat tàctiques de defensa en profunditat, de manera que és probable que els atacs requereixin violar múltiples nivells de seguretat, cosa que fa que sigui més difícil d'aconseguir. Les mesures convencionals de ciberseguretat, com ara la formació i el control d'accés, com ara l'autenticació multifactor, l'accés amb privilegis mínims i l'espai lliure, dificulten la posada en perill dels sistemes amb un exploit de dia zero. Com que escriure programari perfectament segur és impossible, alguns investigadors argumenten que augmentar el cost dels exploits és una bona estratègia per reduir la càrrega dels ciberatacs.
Mercat Els exploits de dia zero poden arribar a generar milions de dòlars. Hi ha tres tipus principals de compradors:
Blanc: el proveïdor o tercers com la Iniciativa Dia Zero que ho revelen al proveïdor. Sovint, aquesta divulgació és a canvi d'una recompensa per errors. No totes les empreses responen positivament a les divulgacions, ja que poden causar responsabilitat legal i despeses operatives. No és estrany rebre cartes de cessament i desistiment dels proveïdors de programari després de revelar una vulnerabilitat gratuïtament. Gris: el més gran i el més lucratiu. El govern o les agències d'intel·ligència compren codis zero-day i els poden utilitzar en un atac, emmagatzemar la vulnerabilitat o notificar-ho al venedor. El govern federal dels Estats Units és un dels compradors més grans. A partir del 2013, els Cinc Ulls (Estats Units, Regne Unit, Canadà, Austràlia i Nova Zelanda) van capturar la pluralitat del mercat i altres compradors importants van incloure Rússia, Índia, Brasil, Malàisia, Singapur, Corea del Nord i Iran. Els països de l'Orient Mitjà estaven a punt de convertir-se en els que més gastaven. Negre: crim organitzat, que normalment prefereix explotar el programari en lloc del simple coneixement d'una vulnerabilitat. Aquests usuaris són més propensos a utilitzar "mitges jornades" on ja hi ha un pegat disponible.
El 2015, es va estimar que els mercats per al govern i la delinqüència eren almenys deu vegades més grans que el mercat blanc. Els venedors sovint són grups de pirates informàtics que busquen vulnerabilitats en programari àmpliament utilitzat per obtenir una recompensa econòmica. Alguns només vendran a certs compradors, mentre que d'altres vendran a tothom. És més probable que els venedors del mercat blanc estiguin motivats per recompenses no pecuniàries com ara el reconeixement i el repte intel·lectual. La venda d'explotacions de dia zero és legal. Malgrat les peticions de més regulació, la professora de dret Mailyn Fidler diu que hi ha poques possibilitats d'un acord internacional perquè actors clau com Rússia i Israel no hi estan interessats.
Els venedors i compradors que negocien amb atacs de zero-day tendeixen a ser reservats, basant-se en acords de confidencialitat i lleis d'informació classificada per mantenir en secret els exploits. Si es descobreix la vulnerabilitat, es pot corregir i, en conseqüència, el seu valor s'enfonsa. Com que el mercat no té transparència, pot ser difícil per a les parts trobar un preu just. És possible que els venedors no rebin un pagament si la vulnerabilitat es va revelar abans que es verificés, o si el comprador es va negar a comprar-la però la va utilitzar igualment. Amb la proliferació d'intermediaris, els venedors mai no podrien saber quin ús es podrien donar als exploits. Els compradors no podien garantir que l'exploit no es vengués a una altra part. Tant els compradors com els venedors anuncien a la dark web. miniatura|Comparació dels preus mitjans de diferents tipus d'explotacions, 2015–2022 Una investigació publicada el 2022 basada en els preus màxims pagats per un únic broker d'exploits va trobar una taxa d'inflació anualitzada del 44% en els preus dels exploits. Els exploits remots sense clics podrien assolir el preu més alt, mentre que els que requereixen accés local al dispositiu són molt més econòmics. Les vulnerabilitats en el programari àmpliament utilitzat també són més cares. Van estimar que entre 400 i 1.500 persones van vendre exploits a aquest broker i van guanyar entre 5.500 i 20.800 dòlars anuals.
Divulgació i acumulació , there is an ongoing debate as to whether the United States should disclose the vulnerabilities it is aware of, so that they can be patched, or keep them secret for its own use. Reasons that states keep a vulnerability secret include wanting to use it offensively, or defensively in penetration testing. Disclosing the vulnerability reduces the risk that consumers and all users of the software will be victimized by malware or data breaches.
Les fases de la divulgació de vulnerabilitats de dia zero, juntament amb una cronologia típica, són les següents:
Descobriment : Un investigador identifica la vulnerabilitat i la marca com a "Dia 0". Informes : L'investigador notifica al proveïdor o a un tercer, iniciant els esforços de remediació. Desenvolupament de pegats : el proveïdor desenvolupa una solució, que pot trigar setmanes o mesos depenent de la complexitat. Divulgació pública : Un cop es publica un pegat, els detalls es comparteixen públicament. Si no es publica cap pegat dins d'un període acordat (normalment 90 dies), alguns investigadors el divulguen per impulsar l'acció.
Història