Στην κυβερνοασφάλεια, ο όρος «μηδενική ημέρα» (zero day) συχνά εμφανίζεται αποδυναμωμένος καθώς χρησιμοποιείται ως γενική ονομασία για οποιαδήποτε ευπάθεια που δεν έχει επιδιορθωθεί. Στο παρόν άρθρο αναλύονται τα τρία υποχρεωτικά στοιχεία ή χαρακτηριστικά μίας πραγματικής ευπάθειας μηδενικής ημέρας ενώ επεξηγούμε για ποιους λόγους η διάκριση μεταξύ μίας ευπάθειας μηδενικής ημέρας και ενός γνωστού, αλλά μη επιδιορθωμένου σφάλματος ή κενού ασφαλείας είναι κρίσιμη για την αποτελεσματική άμυνα.
Η ορθή χρήση της ορολογίας κυβερνοασφάλειας αποτελεί αμυντική αναγκαιότητα
Οι λέξεις έχουν σημασία στην κυβερνοασφάλεια. Η γλώσσα που χρησιμοποιούμε διαμορφώνει τον τρόπο με τον οποίο τα διοικητικά συμβούλια κατανέμουν προϋπολογισμούς, οι ρυθμιστικές αρχές συντάσσουν πολιτικές, οι δημοσιογράφοι περιγράφουν τα περιστατικά και οι οργανισμοί ιεραρχούν τους κινδύνους. Δεν υπάρχει αμφιβολία ότι σε όλη την ιστορία της κυβερνοασφάλειας, κανένας όρος δεν έχει υποστεί μεγαλύτερη κατάχρηση, αποδυνάμωση ή παρερμηνεία από τον όρο «zero day».
Ουσιαστικά έχει μετατραπεί σε έναν ενισχυτή δράματος για τα «πρωτοσέλιδα» των ειδήσεων, σε ένα δεκανίκι του μάρκετινγκ, σε ένα ψευδές μήνυμα επείγουσας ανάγκης και σε μια βολική συντόμευση για να εκφράσουμε σύνθετους προβληματισμούς. Με απλά λόγια, όταν σφάλουμε στον ορισμό, τότε ορίζουμε εσφαλμένα και την απόκριση, και όταν η απόκριση είναι εσφαλμένη, αντιδρούμε με σπασμωδικές κινήσεις που μας εμποδίζουν να εστιάσουμε σε όλα όσα είναι πραγματικά σημαντικά.
Ορισμός για τις ευπάθειες μηδενικής ημέρας (zero–day): Δεν πρόκειται για «νέα» ελαττώματα
Και για να είμαστε σαφείς, μια ευπάθεια «zero day» δεν είναι συνώνυμο της «μη επιδιορθωμένης» (unpatched) ή της «κρίσιμης ευπάθειας». Και δεν σημαίνει επίσης ότι πρόκειται για μία «νέα» ευπάθεια ή μια ευπάθεια που απλώς στερείται επιδιόρθωσης. Η «zero day» αποτελεί μια πολύ συγκεκριμένη συνθήκη για πολλαπλές καταστάσεις μιας ευπάθειας και της σχετικής εκμετάλλευσής της και απαιτεί ακρίβεια όταν αναφέρεται από έναν προμηθευτή ή τα μέσα ενημέρωσης.
Τι είναι μια ευπάθεια μηδενικής ημέρας;
Με απλά λόγια: Μια ευπάθεια zero-day είναι ένα προηγουμένως άγνωστο σφάλμα σε λογισμικό ή υλικό που ενδεχομένως τυγχάνει ενεργής εκμετάλλευσης ανεξάρτητα από τη σοβαρότητά του, όπου ο κατασκευαστής, πάροχος ή προμηθευτής (ή ενδεχομένως η υπεύθυνη κοινότητα ανοικτού κώδικα) είχε «μηδέν ημέρες» (zero days) για να αναπτύξει και να διαθέσει ευρέως μία επιδιορθωτική ενημέρωση (patch) όταν αποκαλύφθηκε δημοσίως. Η έμφαση δίνεται σε τρία στοιχεία: η απειλή είναι άγνωστη στον κατασκευαστή, ενδέχεται να τυγχάνει ενεργής εκμετάλλευσης και έχει αποκαλυφθεί στο κοινό. Αν αφαιρεθεί έστω και ένα από τα παραπάνω αυτά στοιχεία ή χαρακτηριστικά, δεν πρόκειται πλέον για «zero day».
Για παράδειγμα, αν η ευπάθεια έχει επιδιορθωθεί -ακόμα και αν εξακολουθεί να αποτελεί αντικείμενο ενεργής εκμετάλλευσής- δεν είναι πλέον «zero day» αλλά μια γνωστή ευπάθεια μετά από υπεύθυνη δημόσια αποκάλυψη. Το μόνο που καταφέρνει η κατάχρηση του όρου -ή η δημιουργία υβριδικών φράσεων όπως «μη αποκαλυφθείσα» ή «άγνωστη» ευπάθεια μηδενικής ημέρας- είναι να περιπλέκει την ιεράρχηση των κινδύνων.
Γιατί ο κλάδος συγχέει τα «zero days» με τις γνωστές ευπάθειες
Η συγκεκριμένη διάκριση παίζει σημαντικό ρόλο διότι ο κλάδος συχνά συμπτύσσει τρεις πολύ διαφορετικές έννοιες σε έναν ήδη επιβαρυμμένο ή υπερφορτισμένο όρο:
- Γνωστές, αλλά μη επιδιορθωμένες (unpatched) ευπάθειες: Ο κλάδος βλέπει διαρκώς να δεσμεύονται CVEs για τέτοιες περιπτώσεις. Τα συγκεκριμένα κενά ασφαλείας ή σφάλματα έχουν αποκαλυφθεί ιδιωτικώς ή δημοσίως, είναι συχνά καταλογογραφημένα, κάποιες φορές βαθμολογημένα και συχνά έχουν μπει σε σειρά προτεραιότητας από τον κατασκευαστή, πάροχο ή προμηθευτή βάσει της σοβαρότητας, της επικινδυνότητας και της πολυπλοκότητας της επίλυσης τους. Είναι πράγματι επικίνδυνα, αλλά δεν είναι zero days.
- Πρόσφατα αποκαλυφθείσες ευπάθειες: Πρόκειται για ευπάθειες ή κενά ασφαλείας που μπορεί να στερούνται επιδιόρθωσης ωστόσο δεν είναι ακόμη γνωστό αν αποτελούν αντικείμενα ενεργής εκμετάλλευσης από κάποιους. Είναι σοβαρές ευπάθειες, ωστόσο χωρίς λειτουργικό κώδικα εκμετάλλευσης (exploit) δεν μπαίνουν στην ίδια κατηγορία με τις ευπάθειες zero day.
- Πραγματικά zero days: Πρόκειται για ευπάθειες, η ύπαρξη των οποίων αγνοούταν από τους αμυνόμενους μέχρι τη στιγμή που φορείς απειλών απέδειξαν ότι έχουν σχετική γνώση μέσω της ενεργής εκμετάλλευσης τους (zero day exploit) και μάλιστα προτού καταστεί διαθέσιμη κάποια επιδιόρθωση (patch).
Πηγή: NSS
