Om du någonsin har läst om cybersäkerhet kommer termen "nolldag" sannolikt att ha kommit upp en gång i taget för att beskriva sårbarheter som har utnyttjats av hackare. Du kommer också snabbt att upptäcka att dessa tenderar att vara de dödligaste. Vad de är och hur de fungerar har redan diskuterats av min kollega Simon Batt.

Men när du blir djupare in i ämnet kommer du att upptäcka några saker som kanske du kanske inte har känt för när du börjar tänka två gånger om allt du kör på dina enheter (vilket inte nödvändigtvis är en dålig sak). Cybersäkerhetsstudier som den här forskningen från folket på RAND Corporation (en amerikansk försvars tanktank) visar att nolldagars exploit har många sätt att visa oss hur bräcklig vår digitala värld är.

Zero-Day Utnyttjande är inte så svårt att göra

RAND-studien bekräftar någonting som många programmerare som har dabbled i proof-of-concept hacking har misstänkt: det tar inte mycket lång tid att utveckla ett verktyg som förenklar processen att utnyttja en sårbarhet när den har hittats. Citera från studien direkt,

När en exploaterbar sårbarhet har hittats, är det dags att utveckla ett fullt fungerande utnyttjande relativt snabbt, med en median tid på 22 dagar.

Tänk på att detta är genomsnittet . Många fördelar är faktiskt färdiga inom några dagar, beroende på den komplexitet som är inblandad i att skapa mjukvaran och hur långt du vill att din skadliga program ska vara.

I motsats till att utveckla mjukvara för miljontals slutanvändare har det bara en person i åtanke att göra malware vad gäller bekvämlighet: dess skapare. Eftersom du "vet" din kod och programvara finns det inget incitament att koncentrera dig på användarvänlighet. Konsument mjukvaruutveckling upplever många hinder som en följd av gränssnittsdesign och dårskapsskyddande koden, så det tar längre tid. Du skriver för dig och behöver därför inte alla handhållande, vilket gör programmeringsprocessen extremt flytande.

De lever för en chockerande tid

Det är en stolthet för en hacker att veta att ett utnyttjande de har gjort under mycket lång tid. Så det kan vara lite nedslående för dem att veta att detta är en vanlig förekomst. Enligt RAND kommer den genomsnittliga sårbarheten att leva i 6, 9 år, med den kortaste som de har uppmätt lever för ett och ett halvt år. För hackare är det här en besvikelse, eftersom de genom dessa upptäcker att de inte nödvändigtvis är speciella när de utnyttjar de rampages via nätet i åratal. För deras offer är det dock skrämmande.

Den genomsnittliga "långlivade" sårbarheten tar 9, 53 år att upptäckas. Det är nästan ett decennium att varje hackare i världen måste hitta den och använda den till sin fördel. Denna besvärliga statistik kommer inte som någon överraskning, eftersom bekvämlighet ofta kallar hagelgevär på resan medan säkerhet lämnas med baksätet i utvecklingsprocessen. En annan anledning till att det här fenomenet finns finns på grund av det gamla ordspråket, "Du vet inte vad du inte vet". Om ditt team med tio programmerare inte kan ta reda på att det finns en sårbarhet i din programvara, är det säkert en av de tusentals av hackare som aktivt letar efter det kommer att ge dig en hand och visa den på dig på den svåra vägen. Och då måste du klistra in det, vilket är en annan burk av maskar i sig, eftersom du äntligen kan införa en annan sårbarhet, eller hackare kan snabbt hitta ett sätt att kringgå vad du har implementerat.

Altruism är inte i högt utbud

Finifter, Akhawe och Wagner hittade 2013 som av alla sårbarheter upptäcktes, rapporterades bara 2 till 2, 5 procent av dem av goda samaritaner som kom över dem på en morgonpromenad som en del av ett program för sårbarhetsbelöningar (dvs. "Vi ger dig godisar om du berättar hur våra program kan hackas "). Resten av dem upptäcktes antingen av utvecklaren själv eller av en hacker som smärtsamt "upplyste" alla till sin existens. Även om studien inte skiljer mellan sluten och öppen källkod, är det min misstanke om att öppen källkodsprogramvara får mer altruistisk rapportering (eftersom källkoden är öppen i det öppna gör det lättare för människor att rapportera exakt var sårbarheten äger rum) .

Takeaway

Mitt hopp här är att detta ger ett perspektiv på hur lätt det är att bli offer för ett utnyttjande och hur nolldagsutövningar inte är så sällsynta som de verkar. Det finns fortfarande många obesvarade frågor om dem, och kanske närmare studier hjälper oss att utrusta oss med de verktyg vi behöver för att bekämpa dem. Tanken här är att vi måste stanna kvar på tårna.

Var du förvånad över dessa resultat? Berätta allt om det i en kommentar!