Project Zero es un equipo de analistas de seguridad empleados por Google encargados de encontrar vulnerabilidades de día cero . [1] Fue anunciado el 15 de julio de 2014. [2]
Después de encontrar una serie de fallas en el software utilizado por muchos usuarios finales mientras investigaba otros problemas, como la vulnerabilidad crítica " Heartbleed ", Google decidió formar un equipo de tiempo completo dedicado a encontrar dichas vulnerabilidades, no solo en el software de Google sino en cualquier otro. software utilizado por sus usuarios. El nuevo proyecto se anunció el 15 de julio de 2014 en el blog de seguridad de Google. [2] Cuando se lanzó, una de las principales innovaciones que proporcionó Project Zero fue un estricto plazo de divulgación de 90 días junto con un rastreador de errores visible públicamente donde se documenta el proceso de divulgación de vulnerabilidades. [3]
Si bien la idea del Proyecto Cero se remonta a 2010, su establecimiento encaja en la tendencia más amplia de las iniciativas de contravigilancia de Google a raíz de las revelaciones de vigilancia global de 2013 por parte de Edward Snowden . El equipo estuvo anteriormente dirigido por Chris Evans, anteriormente jefe del equipo de seguridad de Chrome de Google , quien posteriormente se unió a Tesla Motors . [4] Otros miembros notables incluyen a los investigadores de seguridad Ben Hawkes , Ian Beer y Tavis Ormandy . [5] Hawkes finalmente se convirtió en el entrenador del equipo y luego renunció el 4 de mayo de 2022.
El objetivo del equipo no es sólo encontrar errores y ataques novedosos, sino también investigar y documentar públicamente cómo se podrían explotar esos fallos en la práctica. Esto se hace para garantizar que los defensores tengan suficiente conocimiento de los ataques; El equipo mantiene un extenso blog de investigación con artículos que describen ataques individuales en detalle. [6]
Los errores encontrados por el equipo de Project Zero se informan al fabricante y solo se hacen visibles públicamente una vez que se ha lanzado un parche [2] o si han pasado 90 días sin que se haya lanzado un parche. [7] El plazo de 90 días es la forma en que Google implementa la divulgación responsable , dando a las empresas de software 90 días para solucionar un problema antes de informar al público para que los propios usuarios puedan tomar las medidas necesarias para evitar ataques. [7] Ha habido casos en los que el proveedor no produce ninguna solución para las fallas descubiertas dentro de los 90 días, antes de la divulgación pública por parte del equipo, lo que aumenta el riesgo para los usuarios que ya son vulnerables. [8]
Uno de los primeros informes de Project Zero que llamó la atención involucró una falla que permitió a los piratas informáticos tomar el control del software que ejecutaba el navegador Safari. [16] Por sus esfuerzos, el equipo, específicamente Beer, fue citado en la breve nota de agradecimiento de Apple.
El 30 de septiembre de 2014, Google detectó una falla de seguridad en el sistema de Windows 8.1 llamado "NtApphelpCacheControl", que permite a un usuario normal obtener acceso administrativo. [17] Microsoft fue notificado del problema de inmediato, pero no lo solucionó dentro de los 90 días, lo que significó que la información sobre el error se hizo pública el 29 de diciembre de 2014. [7] La publicación del error al público provocó una respuesta de Microsoft que Están trabajando en el problema. [7]
El 9 de marzo de 2015, el blog de Google Project Zero publicó una publicación invitada que revelaba cómo una falla de hardware previamente conocida en la DRAM comúnmente implementada llamada Row Hammer podría explotarse para aumentar los privilegios de los usuarios locales. [18] Esta publicación generó una gran cantidad de investigaciones de seguimiento tanto en la comunidad académica como en la de hardware.
El 19 de febrero de 2017, Google descubrió una falla en los servidores proxy inversos de Cloudflare , [19] que provocó que sus servidores perimetrales superaran el final de un búfer y devolvieran memoria que contenía información privada como cookies HTTP, tokens de autenticación y cuerpos POST HTTP. y otros datos confidenciales. Algunos de estos datos fueron almacenados en caché por los motores de búsqueda. [20] Un miembro del equipo de Project Zero se refirió a esta falla como Cloudbleed . [19]
El 27 de marzo de 2017, Tavis Ormandy de Project Zero descubrió una vulnerabilidad en el popular administrador de contraseñas LastPass . [21] El 31 de marzo de 2017, LastPass anunció que había solucionado el problema. [22]
Project Zero participó en el descubrimiento de las vulnerabilidades Meltdown y Spectre que afectan a muchas CPU modernas , que se descubrieron a mediados de 2017 y se revelaron a principios de enero de 2018. [23] El problema fue descubierto por Jann Horn independientemente de los otros investigadores que informaron sobre la falla de seguridad. y estaba previsto que se publicara el 9 de enero de 2018 antes de adelantar la fecha debido a la creciente especulación. [9]
El 18 de abril de 2019, Project Zero descubrió un error en Apple iMessage en el que cierto mensaje con formato incorrecto podía hacer que Springboard "... fallara y reapareciera repetidamente, provocando que la interfaz de usuario no se mostrara y el teléfono dejara de responder a la entrada". [24] Esto bloquearía completamente la interfaz de usuario del iPhone y la dejaría inoperable. Este error persistiría incluso después de un reinicio completo . La falla también afectó a iMessage en Mac con resultados diferentes. Apple solucionó el error dentro del período de 90 días antes de que Project Zero lo lanzara.
El 1 de febrero de 2019, Project Zero informó a Apple que habían detectado un conjunto de cinco cadenas de exploits de iPhone separadas y completas que afectaban a iOS 10 en todas las versiones de iOS 12 y no estaban dirigidas a usuarios específicos, pero tenían la capacidad de infectar a cualquier usuario que visitara un sitio infectado. . Una serie de sitios pirateados se estaban utilizando en ataques indiscriminados contra sus visitantes, que Project Zero estima que reciben miles de visitantes por semana. Project Zero consideró que los ataques indicaban que un grupo estaba haciendo un esfuerzo sostenido para piratear a los usuarios de iPhone en ciertas comunidades durante un período de al menos dos años. [25] Apple solucionó los exploits en la versión de iOS 12.1.4 el 7 de febrero de 2019, [26] y dijo que las correcciones ya estaban en marcha cuando Project Zero informó. [27]
En diciembre de 2021, el equipo publicó un desglose técnico del exploit FORCEDENTRY basado en su colaboración con el grupo de Ingeniería y Arquitectura de Seguridad (SEAR) de Apple. [28] [29]
El exploit fue descrito por el equipo:
JBIG2 no tiene capacidades de secuencias de comandos, pero cuando se combina con una vulnerabilidad, tiene la capacidad de emular circuitos de puertas lógicas arbitrarias que operan en memoria arbitraria. Entonces, ¿por qué no usar eso para construir su propia arquitectura de computadora y crear un script? Eso es exactamente lo que hace este exploit. Utilizando más de 70.000 comandos de segmento que definen operaciones de bits lógicos, definen una pequeña arquitectura de computadora con características como registros y un sumador y comparador completo de 64 bits que utilizan para buscar en la memoria y realizar operaciones aritméticas. No es tan rápido como Javascript, pero es fundamentalmente equivalente desde el punto de vista computacional. Las operaciones de arranque para el exploit de escape del sandbox están escritas para ejecutarse en este circuito lógico y todo se ejecuta en este extraño entorno emulado creado a partir de un único paso de descompresión a través de una secuencia JBIG2. Es bastante increíble y, al mismo tiempo, bastante aterrador. [28]
{{cite book}}: |first=tiene nombre genérico ( ayuda )