Un día cero (también conocido como día 0 ) es una vulnerabilidad en el software o hardware que normalmente el proveedor desconoce y para la cual no hay ningún parche u otra solución disponible. El proveedor no tiene días para preparar un parche ya que la vulnerabilidad ya ha sido descrita o explotada.
A pesar del objetivo de los desarrolladores de ofrecer un producto que funcione completamente según lo previsto, prácticamente todo el software y hardware contiene errores. Muchos de ellos perjudican la seguridad del sistema y, por tanto, son vulnerabilidades. Aunque son la base de solo una minoría de los ciberataques, los días cero se consideran más peligrosos que las vulnerabilidades conocidas porque hay menos contramedidas posibles.
Los estados son los principales usuarios de las vulnerabilidades de día cero, no sólo por el alto costo de encontrarlas o comprarlas, sino también por el importante costo de escribir el software de ataque. Muchas vulnerabilidades son descubiertas por piratas informáticos o investigadores de seguridad, quienes pueden revelarlas al proveedor (a menudo a cambio de una recompensa por errores ) o venderlas a estados o grupos criminales. El uso de días cero aumentó después de que muchas empresas de software populares comenzaron a cifrar mensajes y datos, lo que significa que los datos no cifrados sólo podían obtenerse pirateando el software antes de que fuera cifrado.
A pesar del objetivo de los desarrolladores de ofrecer un producto que funcione completamente según lo previsto, prácticamente todo el software y hardware contiene errores. [1] Si un error crea un riesgo de seguridad, se denomina vulnerabilidad . Las vulnerabilidades varían en su capacidad de ser explotadas por actores maliciosos. Algunos no son utilizables en absoluto, mientras que otros pueden usarse para interrumpir el dispositivo con un ataque de denegación de servicio . Los más valiosos permiten al atacante inyectar y ejecutar su propio código, sin que el usuario se dé cuenta. [2] Aunque el término "día cero" inicialmente se refería al tiempo transcurrido desde que el proveedor tuvo conocimiento de la vulnerabilidad, las vulnerabilidades de día cero también pueden definirse como el subconjunto de vulnerabilidades para las cuales no hay ningún parche u otra solución disponible. [3] [4] [5] Un exploit de día cero es cualquier exploit que aprovecha dicha vulnerabilidad. [2]
Un exploit es el mecanismo de entrega que aprovecha la vulnerabilidad para penetrar los sistemas del objetivo, con fines tales como interrumpir operaciones, instalar malware o extraer datos . [6] Los investigadores Lillian Ablon y Andy Bogart escriben que "se sabe poco sobre el verdadero alcance, uso, beneficio y daño de los exploits de día cero". [7] Los exploits basados en vulnerabilidades de día cero se consideran más peligrosos que aquellos que aprovechan una vulnerabilidad conocida. [8] [9] Sin embargo, es probable que la mayoría de los ciberataques utilicen vulnerabilidades conocidas, no días cero. [7]
Los estados son los principales usuarios de exploits de día cero, no sólo por el alto costo de encontrar o comprar vulnerabilidades, sino también por el importante costo de escribir el software de ataque. Sin embargo, cualquiera puede aprovechar una vulnerabilidad [4] y, según una investigación de RAND Corporation , "cualquier atacante serio siempre puede conseguir un día cero asequible para casi cualquier objetivo". [10] Muchos ataques dirigidos [11] y las amenazas persistentes más avanzadas se basan en vulnerabilidades de día cero. [12]
El tiempo promedio para desarrollar un exploit a partir de una vulnerabilidad de día cero se estimó en 22 días. [13] La dificultad de desarrollar exploits ha aumentado con el tiempo debido al aumento de las funciones antiexplotación en el software popular. [14]
Las vulnerabilidades de día cero a menudo se clasifican como vivas (lo que significa que no hay conocimiento público de la vulnerabilidad) y muertas (la vulnerabilidad ha sido revelada, pero no parcheada). Si los mantenedores del software están buscando activamente vulnerabilidades, se trata de una vulnerabilidad viva; Estas vulnerabilidades en el software que no se mantiene se denominan inmortales. Las vulnerabilidades zombies se pueden explotar en versiones anteriores del software, pero se han parcheado en versiones más nuevas. [15]
Incluso las vulnerabilidades zombis y conocidas públicamente suelen ser explotables durante un período prolongado. [16] [17] Los parches de seguridad pueden tardar meses en desarrollarse, [18] o es posible que nunca se desarrollen. [17] Un parche puede tener efectos negativos en la funcionalidad del software [17] y es posible que los usuarios necesiten probar el parche para confirmar la funcionalidad y la compatibilidad. [19] Es posible que las organizaciones más grandes no logren identificar y parchear todas las dependencias, mientras que las empresas más pequeñas y los usuarios personales pueden no instalar parches. [17] Las investigaciones sugieren que el riesgo de un ciberataque aumenta si la vulnerabilidad se hace pública o se lanza un parche. [20] Los ciberdelincuentes pueden aplicar ingeniería inversa al parche para encontrar la vulnerabilidad subyacente y desarrollar exploits, [21] a menudo más rápido de lo que los usuarios instalan el parche. [20]
Según una investigación de RAND Corporation publicada en 2017, los exploits de día cero siguen siendo utilizables durante una media de 6,9 años, [22] aunque los comprados a un tercero solo siguen siendo utilizables durante una media de 1,4 años. [13] Los investigadores no pudieron determinar si alguna plataforma o software en particular (como el software de código abierto ) tenía alguna relación con la esperanza de vida de una vulnerabilidad de día cero. [23] Aunque los investigadores de RAND descubrieron que el 5 por ciento de una reserva de vulnerabilidades secretas de día cero habrá sido descubierta por otra persona, [22] otro estudio encontró una tasa de superposición más alta, tan alta como del 10,8 por ciento al 21,9 por ciento por año. [24]
Debido a que, por definición, no existe ningún parche que pueda bloquear un exploit de día cero, todos los sistemas que emplean el software o hardware con la vulnerabilidad están en riesgo. Esto incluye sistemas seguros como bancos y gobiernos que tienen todos los parches actualizados. [25] El software antivirus suele ser ineficaz contra el malware introducido por los exploits de día cero. [26] Los sistemas de seguridad están diseñados en torno a vulnerabilidades conocidas, y el malware insertado mediante un exploit de día cero podría continuar funcionando sin ser detectado durante un período prolongado de tiempo. [17] Aunque ha habido muchas propuestas para un sistema que sea eficaz para detectar exploits de día cero, esta seguirá siendo un área activa de investigación en 2023. [27]
Muchas organizaciones han adoptado tácticas de defensa en profundidad, por lo que es probable que los ataques requieran violar múltiples niveles de seguridad, lo que hace que sea más difícil de lograr. [28] Las medidas convencionales de ciberseguridad, como la capacitación y el control de acceso , como la autenticación multifactor , el acceso con privilegios mínimos y la separación de aire, hacen que sea más difícil comprometer los sistemas con un exploit de día cero. [29] Dado que escribir software perfectamente seguro es imposible, algunos investigadores sostienen que aumentar el costo de los exploits es una buena estrategia para reducir la carga de los ciberataques. [30]
Los exploits de día cero pueden generar millones de dólares. [4] Hay tres tipos principales de compradores: [31]
En 2015, se estimó que los mercados para el gobierno y el crimen eran al menos diez veces mayores que el mercado blanco. [31] Los vendedores suelen ser grupos de piratas informáticos que buscan vulnerabilidades en software ampliamente utilizado para obtener recompensas financieras. [39] Algunos sólo venderán a ciertos compradores, mientras que otros venderán a cualquiera. [38] Es más probable que los vendedores del mercado blanco estén motivados por recompensas no pecuniarias, como el reconocimiento y el desafío intelectual. [40] Vender exploits de día cero es legal. [34] [41] A pesar de los llamados a una mayor regulación, la profesora de derecho Mailyn Fidler dice que hay pocas posibilidades de un acuerdo internacional porque actores clave como Rusia e Israel no están interesados. [41]
Los vendedores y compradores que comercian en días cero tienden a ser reservados y se basan en acuerdos de confidencialidad y leyes de información clasificada para mantener los exploits en secreto. Si se conoce la vulnerabilidad, se puede parchear y, en consecuencia, su valor colapsa. [42] Debido a que el mercado carece de transparencia, puede resultar difícil para las partes encontrar un precio justo. Es posible que a los vendedores no se les pague si la vulnerabilidad se reveló antes de que se verificara, o si el comprador se negó a comprarla pero la usó de todos modos. Con la proliferación de intermediarios, los vendedores nunca podrían saber qué uso se les podría dar a los exploits. [43] Los compradores no podían garantizar que el exploit no fuera vendido a otra parte. [44] Tanto los compradores como los vendedores se anuncian en la web oscura . [45]
Una investigación publicada en 2022 basada en los precios máximos pagados por un único corredor de exploits encontró una tasa de inflación anualizada del 44 por ciento en los precios de exploits. Los exploits remotos sin clic podrían alcanzar el precio más alto, mientras que aquellos que requieren acceso local al dispositivo son mucho más baratos. [46] Las vulnerabilidades en el software ampliamente utilizado también son más caras. [47] Estimaron que alrededor de 400 a 1200 personas vendieron exploits a ese corredor y ganaron en promedio alrededor de $ 5000 a $ 20 000 al año. [48]
A partir de 2017 [actualizar], existe un debate en curso sobre si Estados Unidos debería revelar las vulnerabilidades que conoce, para poder parchearlas, o mantenerlas en secreto para su propio uso. [49] Las razones por las que los estados mantienen una vulnerabilidad en secreto incluyen querer usarla de manera ofensiva o defensiva en pruebas de penetración . [10] Revelar la vulnerabilidad reduce el riesgo de que los consumidores y todos los usuarios del software sean víctimas de malware o violaciones de datos . [1]
Los exploits de día cero aumentaron en importancia después de que servicios como Apple, Google, Facebook y Microsoft cifraran servidores y mensajes, lo que significa que la única forma de acceder a los datos de un usuario era interceptarlos en la fuente antes de cifrarlos. [25] Uno de los usos más conocidos de exploits de día cero fue el gusano Stuxnet , que utilizó cuatro vulnerabilidades de día cero para dañar el programa nuclear de Irán en 2010. [7] El gusano mostró lo que se podía lograr con exploits de día cero , desatando una expansión en el mercado. [36]
La Agencia de Seguridad Nacional (NSA) de los Estados Unidos incrementó su búsqueda de vulnerabilidades de día cero después de que las grandes empresas tecnológicas se negaran a instalar puertas traseras en el software, y encomendó a Tailored Access Operations (TAO) la tarea de descubrir y comprar exploits de día cero. [50] En 2007, el ex empleado de la NSA Charlie Miller reveló públicamente por primera vez que el gobierno de los Estados Unidos estaba comprando exploits de día cero. [51] Alguna información sobre la participación de la NSA en los días cero se reveló en los documentos filtrados por el contratista de la NSA Edward Snowden en 2013, pero faltaban detalles. [50] La reportera Nicole Perlroth concluyó que "o el acceso de Snowden como contratista no lo llevó lo suficientemente lejos en los sistemas del gobierno para obtener la información necesaria, o algunas de las fuentes y métodos del gobierno para adquirir días cero eran tan confidenciales o controvertidos". , que la agencia nunca se atrevió a ponerlas por escrito". [52]