ถ้าคุณเคยอ่านเรื่องไซเบอร์เซียร์ คำว่า "zero-day" น่าจะเคยได้ยินมา บอกถึงช่องโหว่ที่แฮกเกอร์ exploit และมักเป็นอันตรายที่สุด สิ่งที่มันคือและทำงานอย่างไร เพื่อนร่วมงาน Simon Batt อธิบายไปแล้วอย่างกระชับ
แต่มากับคุณลึกเข้าไปในหัวข้อนี้ คุณจะค้นพบสิ่งที่อาจไม่อยากรู้ เมื่อเริ่มคิดซ้ำสองครั้งเกี่ยวกับทุกอย่างที่รันบนอุปกรณ์ (ซึ่งไม่一定เป็นเรื่องร้าย) การศึกษาไซเบอร์เซียร์ เช่น งานวิจัยจาก RAND Corporation (ทinktank กองทัพสหรัฐ) แสดงว่า zero-day exploits มีหลายทางแสดงให้เห็นว่าล็อกดิจิทัลของเราหрупเปราะแค่ไหน
Zero-Day Exploits สร้างไม่ยาก
การศึกษาของ RAND ยืนยันสิ่งที่นักเขียนโปรแกรมหลายคนที่ลอง proof-of-concept hacking คาดการณ์ไว้: ไม่ใช้เวลานานในการพัฒนาเครื่องมือที่ทำให้การ exploit ช่องโหว่ง่ายขึ้น หลังจากพบมันแล้ว อ้างอิงจากงานศึกษาโดยตรง:
เมื่อพบช่องโหว่ที่ exploit ได้ เวลาในการพัฒนา exploit ที่ทำงานสมบูรณ์ ค่อนข้างรวดเร็ว โดยมี median 22 วัน
จำไว้ว่าเป็นค่าเฉลี่ย หลาย exploits เสร็จภายในวันๆ ขึ้นอยู่กับความซับซ้อนในการสร้างซอฟต์แวร์ และความกว้างขวางที่คุณต้องการให้แมลแวร์มีผลกระทบ
ต่างจากการพัฒนาซอฟต์แวร์สำหรับผู้ใช้ล้านล้านคน การสร้างแมลแวร์มีคนเดียวในใจสำหรับความสะดวก: ผู้สร้าง เนื่องจากคุณ "รู้" โค้ดและซอฟต์แวร์ของคุณ ไม่มีแรงจูงใจให้เน้น user-friendliness การพัฒนาซอฟต์แวร์ผู้บริโภคมีอุปสรรคมากจาก UI design และการทำให้โค้ด fool-proof จึงนานกว่า คุณเขียนให้ตัวเอง จึงไม่ต้องการ hand-holding ทำให้กระบวนการเขียนโปรแกรมไหลลื่นมาก
อายุการใช้งานน่าประหลาด
เป็นจุดภูมิใจของแฮกเกอร์ที่รู้ว่า exploit ที่สร้างทำงานนาน แต่ผิดหวังนิดหน่อยที่จะรู้ว่านี้เป็นเรื่องปกติ ตาม RAND ช่องโหว่เฉลี่ยมีอายุ 6.9 ปี โดยสั้นที่สุดที่วัดได้มีอายุ 1.5 ปี สำหรับแฮกเกอร์ นี่ผิดหวังเพราะรู้ว่าพวกเขาไม่ได้พิเศษเมื่อสร้าง exploit ที่ลุยเว็บนานหลายปี แต่สำหรับเหยื่อ นี่น่ากลัว
ช่องโหว่ "อายุยาว" เฉลี่ยใช้เวลา 9.53 ปีถึงจะถูกค้นพบ เกือบทศวรรษที่แฮกเกอร์ทุกคนมีโอกาสหาและใช้ประโยชน์ สถิตินี้ไม่น่าประหลาด เพราะความสะดวกมักนั่งหน้ารถ ในขณะความปลอดภัยนั่งหลังในกระบวนการพัฒนา อีกเหตุผลคือคำมาตรฐาน "คุณไม่รู้สิ่งที่คุณไม่รู้" หากทีม 10 โปรแกรมเมอร์หาช่องโหว่ในซอฟต์แวร์ไม่เจอ แฮกเกอร์พันคนที่มองหาอยู่จะช่วยชี้ให้เห็นแบบแข็งแกร่ง แล้วคุณต้อง patch ซึ่งเป็นอีกถุงหนอน เพราะอาจนำช่องโหว่ใหม่เข้ามา หรือแฮกเกอร์หาทางหลีกเลี่ยงสิ่งที่คุณทำได้เร็ว
ความเห็นด้วยตนเองขาดแคลน
Finifter, Akhawe, และ Wagner พบในปี 2556 ว่า จากช่องโหว่ที่ค้นพบทั้งหมด มีเพียง 2 - 2.5% ที่รายงานโดย thiệnชนที่พบเจอขณะเดินเช้าในโปรแกรมรางวัลช่องโหว่ (เช่น "เราให้ของดีถ้าคุณบอกวิธีแฮกซอฟต์แวร์เรา") ส่วนที่เหลือค้นพบโดยผู้พัฒนาตัวเอง หรือแฮกเกอร์ที่ "แจ้งเตือน" ใคร่ทุกคนอย่างเจ็บปวด แม้งานศึกษาไม่แยก closed/open source แต่เดาได้ว่า open-source ได้รายงาน thiệnชนมากกว่า (เพราะโค้ดเปิดเผย ทำให้รายงานตำแหน่งช่องโหว่ได้แม่นยำ)
บทเรียน
หวังว่านี่ให้มุมมองว่าง่ายแค่ไหนที่จะเป็นเหยื่อ exploit และ zero-day exploits ไม่ได้หายากอย่างที่คิด ยังมีคำถามมากเกี่ยวกับพวกมัน และการศึกษาลึกขึ้นอาจช่วยให้เรามีเครื่องมือต่อสู้กับพวกมัน จุดสำคัญคือเราต้องตื่นตัวอยู่เสมอ
คุณประหลาดใจกับข้อค้นพบเหล่านี้ไหม? บอกเราในความคิดเห็น!
