शून्य दिवस ही एक व्यापक संज्ञा आहे जी वापरकर्त्यांना आणि निर्मात्याला किंवा विकासकाला अज्ञात असलेल्या सुरक्षा भेद्यतेचे वर्णन करते.
काही दिवसांपूर्वी संघाने आ Google सुरक्षा अनावरण ब्लॉग पोस्टद्वारे, ए सर्व संकलनाचा अहवाल मागील वर्षी (2022) शी संबंधित 0 दिवस असुरक्षा जेथे शोषण आधी दिसून आले विकसित करणे पॅचेस संबंधित असुरक्षित सॉफ्टवेअरसाठी.
सादर केलेल्या अहवालात त्यांनी नमूद केले आहे की 2022 मध्ये प्रोजेक्ट झिरो टीमने 41 दिवसात 0 असुरक्षा ओळखल्या (40 मध्ये आढळलेल्यांपेक्षा 2021% कमी) आणि असुरक्षिततेच्या संख्येत लक्षणीय घट होऊनही, ही संख्या मागील 6 वर्षांच्या सरासरीपेक्षा जास्त आहे.
जंगलात शोषण केलेल्या 0 दिवसांचे हे Google चे चौथे वार्षिक पुनरावलोकन आहे [2021, 2020, 2019] आणि 2022 च्या मध्य-वर्षाच्या पुनरावलोकनावर आधारित आहे. या अहवालाचे उद्दिष्ट प्रत्येक वैयक्तिक शोषणाचे तपशीलवार वर्णन करणे नाही तर त्यांच्या शोषणाचे विश्लेषण करणे आहे संपूर्ण वर्ष, ट्रेंड, अंतर, शिकलेले धडे आणि यश शोधत आहे.
गेल्या वर्षांतील शून्य दिवसांच्या असुरक्षा संख्येचा आलेख
असे नमूद केले आहे मोठ्या संख्येने शून्य दिवस असुरक्षितता उद्भवणे संभाव्यत: घटकांद्वारे सुलभ होते जसे की हल्लेखोरांना हल्ले करण्यासाठी शोषण वापरण्याची सतत गरज आणि अशा असुरक्षा शोधण्याच्या पद्धती सुलभ करणे, या वस्तुस्थितीव्यतिरिक्त पॅचच्या वापराच्या गतीमध्ये वाढ झाल्यामुळे आधीच ज्ञात समस्या वापरण्याऐवजी या प्रकारच्या भेद्यता शोधणे आवश्यक होते. हे देखील एक घटक आहे, कारण खराब पॅचिंग लेखकांना ज्ञात भेद्यतेसाठी नवीन आक्रमण वेक्टर शोधण्याची परवानगी देते.
उदाहरणार्थ, 40 मध्ये ओळखल्या गेलेल्या शून्य-दिवसातील 17% (41 पैकी 2022) शोषण पूर्वी पॅच केलेल्या आणि सार्वजनिकरित्या उघड केलेल्या भेद्यतेशी संबंधित होते. असुरक्षिततेसाठी अपुर्‍या पूर्ण किंवा कमी-गुणवत्तेचे निराकरण केल्यामुळे अशी संधी उद्भवते - असुरक्षित प्रोग्रामचे विकसक सहसा केवळ एक विशेष प्रकरण निश्चित करतात किंवा समस्येच्या मुळाशी न जाता फक्त निराकरणाचे स्वरूप तयार करतात. अशा शून्य-दिवस असुरक्षा संभाव्यत: पुढील तपास आणि असुरक्षिततेच्या उपायांसह प्रतिबंधित केल्या जाऊ शकतात.
असुरक्षिततेच्या संख्येत घट 0 च्या तुलनेत 2021 दिवस अधिक वेळ, ज्ञान आणि पैसा आवश्यक आहे या वस्तुस्थितीद्वारे स्पष्ट केले जाऊ शकते शोषण निर्माण करण्यासाठी, संरक्षण पद्धतींच्या अधिक सक्रिय वापरामुळे शोषणक्षम असुरक्षिततेची संख्या कमी होते, प्रत्येक शोषणासाठी, नवीन ऑपरेशनल तंत्रे अनेकदा विकसित केली जातात.
फिशिंग आणि मालवेअर वितरण यांसारख्या सोप्या आक्रमण पद्धतींचा वापर केल्यामुळे 0 दिवसांच्या भेद्यतेत घट होऊ शकते. वापरकर्त्यांनी निराकरणे लागू करण्यास विलंब केल्यामुळे ज्ञात असुरक्षिततेसाठी शोषण बायपास करण्याच्या क्षमतेवर देखील त्याचा परिणाम होऊ शकतो.
असा निष्कर्ष अहवालात काढण्यात आला आहे Android मधील N-day patched vulnerabilities साठी केलेले शोषण 0-दिवसांच्या भेद्यतेपेक्षा कमी प्रभावी नाहीत अद्यतने जनरेट करण्यात प्रदात्यांच्या विलंबामुळे. उदाहरणार्थ, जरी Google ने Android कोर प्लॅटफॉर्ममधील असुरक्षिततेचे त्वरीत निराकरण केले तरीही, या भेद्यतेचे निराकरण काही महिन्यांनंतर बहुतेक वापरकर्त्यांसाठी उपलब्ध नसू शकते, कारण एंड-डिव्हाइस निर्माते आपल्या फर्मवेअर पुनरावृत्तीचे निराकरण करण्यास धीमे असतात.
एक उदाहरण म्हणजे Chrome 2022 ब्राउझर इंजिनमध्ये ओळखण्यात आलेली CVE-3038-105 असुरक्षा आणि जून 2022 मध्ये निश्चित करण्यात आली. सॅमसंग इंटरनेट सारख्या विक्रेत्यांकडील विशिष्ट ब्राउझरमध्ये ही भेद्यता दीर्घकाळ अस्पष्ट राहिली. डिसेंबर 2022 मध्ये, सॅमसंग वापरकर्त्यांवर या असुरक्षिततेचा गैरफायदा घेऊन हल्ले झाल्याची तथ्ये उघड झाली (डिसेंबरमध्ये, सॅमसंगच्या इंटरनेट ब्राउझरच्या सध्याच्या आवृत्तीने मे 102 मध्ये रिलीझ केलेले क्रोमियम 2022 इंजिन वापरणे सुरू ठेवले).
त्याच वेळी, ब्राउझरसाठी, स्वारस्यांमध्ये देखील बदल आहे शोषण लेखकांकडून 0-क्लिक शोषणापेक्षा 1-क्लिक शोषणाच्या बाजूने. 0-क्लिक म्हणजे अशा भेद्यता ज्यांना वापरकर्त्याच्या कृतीची आवश्यकता नसते, सहसा ब्राउझर कोड व्यतिरिक्त इतर घटकांवर परिणाम होतो.
असे नमूद केले आहे की 0-क्लिक भेद्यता शोधणे कठीण आहे कारण:
- ते अल्पायुषी आहेत
- त्यांच्याकडे त्यांच्या उपस्थितीचे कोणतेही दृश्यमान सूचक नसतात.
- तुम्ही अनेक भिन्न घटकांना लक्ष्य करू शकता आणि प्रदात्यांना नेहमी दूरस्थपणे प्रवेश करता येणारे सर्व घटक लक्षात येत नाहीत.
- कुंड आक्रमणाप्रमाणे मोठ्या प्रमाणावर उपलब्ध न होता थेट लक्ष्यावर वितरित केले जाते
- अनेकदा ब्राउझ करण्यायोग्य वेबसाइट किंवा सर्व्हरवर होस्ट केले जात नाही
तर 1-क्लिकसह, एक दृश्यमान दुवा आहे ज्यावर लक्ष्याने शोषण वितरीत करण्यासाठी क्लिक करणे आवश्यक आहे. याचा अर्थ लक्ष्य किंवा सुरक्षा साधने लिंक शोधू शकतात. शोषण नंतर त्या लिंकवर ब्राउझ करण्यायोग्य सर्व्हरवर होस्ट केले जातात.
शेवटी तुम्ही असाल तर याबद्दल अधिक जाणून घेण्यात स्वारस्य आहे, आपण मधील तपशील तपासू शकता खालील दुवा.