0-day

0-day (o zero-day), in informatica, è una qualsiasi vulnerabilità di sicurezza informatica non espressamente nota allo sviluppatore o alla casa che ha prodotto un determinato sistema informatico; definisce anche il programma - detto "exploit" - che sfrutta questa vulnerabilità informatica per consentire l'esecuzione anche parziale di azioni non normalmente permesse da chi ha progettato il sistema in questione. Vengono chiamati 0-day proprio perché sono passati zero giorni da quando la vulnerabilità è stata conosciuta dallo sviluppatore e quindi lo sviluppatore ha avuto "zero giorni" per riparare la falla nel programma prima che qualcuno possa scrivere un exploit per essa. Nel momento in cui il bug viene risolto, lo 0-day perde parte della sua originale importanza perché non può più essere usato contro i sistemi aggiornati alla versione in cui viene risolta la vulnerabilità di quel preciso sistema.

Normalmente si parla di 0-day riferendosi ad essi come attività espressamente dolose compiute da cracker che si adoperano per trovarle proprio con l'intenzione di guadagnarsi un accesso abusivo ad un sistema informatico vulnerabile oppure a causare in esso comportamenti imprevisti che possono andare dalla perdita di dati a malfunzionamenti anche molto gravi.

Le vulnerabilità 0-day costituiscono una seria minaccia.

Etica

Esistono differenti ideologie relative alla collezione e uso delle informazioni delle vulnerabilità 0-day. La maggior parte delle aziende di sicurezza informatica compie ricerche sulle vulnerabilità 0-day in modo da capirne la natura e il loro utilizzo da parte di individui, worm e virus. Oppure, alcune aziende comprano vulnerabilità per accrescere la loro capacità di ricerca. Un esempio di questo tipo di programma è la Tipping's Point Zero Day Initiative. Anche se vendere e comprare queste vulnerabilità non è tecnicamente illegale nella maggior parte del mondo, c'è una grande controversia riguardo al metodo di divulgazione. Nel 2006 una decisione della Germania di includere l'articolo 6 della Convention Of Cybercrime e di EU Framework Decision on Attacks against Information Systems potrebbe far sì che la vendita o anche la produzione di vulnerabilità diventi illegale.

La maggior parte dei programmi ufficiali segue alcune forme di linee guida di RFPolicy o del più recente OIS Guidelines for Security Vulnerability Reporting and Response. In generale queste regole vietano la pubblica divulgazione di vulnerabilità senza la relativa notifica al produttore e prima di un tempo sufficiente a distribuire una patch.

Finestra di vulnerabilità

Il tempo che intercorre tra la prima volta che un exploit diventa attivo e quando il numero di sistemi vulnerabili si riduce fino a diventare insignificante è chiamato finestra di vulnerabilità.

La time-line per ogni vulnerabilità è definita dai seguenti eventi principali:

t0: La vulnerabilità viene scoperta.

t1a: Una patch di sicurezza è pubblicata.

t1b: Un exploit diventa attivo.

t2: La maggior parte dei sistemi vulnerabili applica la patch.

Per le vulnerabilità normali abbiamo che t1b-t1a > 0. Questo implica che il distributore di software era a conoscenza della vulnerabilità (al tempo t ≥ t0) e ha avuto il tempo di pubblicare una patch di sicurezza (t1a) prima che un hacker abbia avuto il tempo di creare un exploit funzionante (t1b). Per gli exploit 0-day, abbiamo che t1b-t1a ≤ 0, quindi l'exploit diventa attivo prima che una patch sia stata resa disponibile.

Non divulgando le vulnerabilità note, un distributore di software spera di raggiungere t2 prima che t1b venga raggiunto, così da evitare exploits. Comunque, il distributore di software non ha garanzie che l'hacker non troverà delle vulnerabilità per conto proprio. Tra l'altro, le patch di sicurezza possono essere analizzate per rilevare le vulnerabilità sottostanti e generare automaticamente exploits funzionanti: perciò avremo sempre t0 ≤ t1a e t0 ≤ t1b.

In pratica, la dimensione della finestra di vulnerabilità varia a seconda dei sistemi, dei distributori e delle singole vulnerabilità. È spesso misurata in giorni: un report del 2006 la stima in 28 giorni.

Metodi di attacco

Gli sviluppatori di malware possono sfruttare le vulnerabilità 0-day attraverso alcuni diversi metodi di attacco.

Alcune volte, quando gli utenti visitano siti web non affidabili, codice malevolo sul sito può sfruttare le vulnerabilità dei browser Web. I browser Web sono un obiettivo particolare per i criminali a causa della loro enorme diffusione e utilizzo. I cybercriminali possono anche mandare email con allegati malevoli attraverso SMTP, i quali sfruttano vulnerabilità nell'applicazione che apre l'allegato. Gli exploit che sfruttano tipi di file comuni sono numerosi e frequenti.