यदि आपने कभी साइबर सुरक्षा के बारे में पढ़ा है, तो "ज़ीरो-डे" शब्द संभवतः एक बार सामने आया होगा जो उन कमजोरियों का वर्णन करता है जिनका हैकर्स द्वारा शोषण किया गया है। आप यह भी जल्दी पाएंगे कि ये सबसे घातक होते हैं। वे क्या हैं और कैसे काम करते हैं, इस पर मेरे सहयोगी साइमन बैट द्वारा पहले ही संक्षिप्त चर्चा की जा चुकी है।
लेकिन जैसे-जैसे आप विषय में गहराई से जाते हैं, आप कुछ ऐसी चीजें खोजेंगे जिन्हें आप शायद नहीं जानना चाहते थे जब आप अपने उपकरणों पर चलने वाली हर चीज़ के बारे में दो बार सोचना शुरू करते हैं (जो कि जरूरी नहीं कि बुरी चीज़ हो)। RAND कॉर्पोरेशन (एक अमेरिकी सशस्त्र बल थिंक टैंक) के लोगों के इस शोध जैसे साइबर सुरक्षा अध्ययन प्रदर्शित करते हैं कि ज़ीरो-डे एक्सप्लॉइट्स के कई तरीके हैं जो हमें दिखाते हैं कि हमारी डिजिटल दुनिया कितनी नाजुक है।
ज़ीरो-डे एक्सप्लॉइट्स बनाना इतना मुश्किल नहीं है
RAND अध्ययन उस बात की पुष्टि करता है जिसका प्रूफ-ऑफ-कॉन्सेप्ट हैकिंग में डब्ल करने वाले कई प्रोग्रामरों को संदेह था: एक बार कमजोरी मिल जाने के बाद उसका शोषण करने की प्रक्रिया को सरल बनाने वाले टूल को विकसित करने में ज्यादा समय नहीं लगता। अध्ययन से सीधे उद्धृत करते हुए,
एक बार शोषक कमजोरी मिल जाने के बाद, पूरी तरह से कार्यशील एक्सप्लॉइट विकसित करने का समय अपेक्षाकृत तेज़ होता है, जिसका औसत समय 22 दिन होता है।
ध्यान रखें कि यह औसत है। कई एक्सप्लॉइट वास्तव में दिनों के भीतर समाप्त हो जाते हैं, इसमें शामिल जटिलता के आधार पर सॉफ्टवेयर तैयार करने में और आप अपने मैलवेयर के प्रभाव को कितना दूर तक पहुंचाना चाहते हैं।
लाखों अंतिम उपयोगकर्ताओं के लिए सॉफ्टवेयर विकसित करने के विपरीत, मैलवेयर बनाने में सुविधा के लिहाज से केवल एक व्यक्ति को ध्यान में रखा जाता है: इसका निर्माता। चूंकि आप अपने कोड और सॉफ्टवेयर को "जानते" हैं, इसलिए उपयोगकर्ता-मित्रता पर ध्यान केंद्रित करने का कोई प्रोत्साहन नहीं है। उपभोक्ता सॉफ्टवेयर विकास को इंटरफ़ेस डिज़ाइन और कोड को फुलप्रूफ बनाने के कारण कई बाधाओं का सामना करना पड़ता है, इसलिए इसमें अधिक समय लगता है। आप अपने लिए लिख रहे हैं और इसलिए आपको सभी हाथ पकड़ने की आवश्यकता नहीं है, जो प्रोग्रामिंग प्रक्रिया को अत्यधिक तरल बनाता है।
वे चौंकाने वाली अवधि तक जीवित रहते हैं
एक हैकर के लिए यह गर्व की बात है कि उसके द्वारा बनाया गया एक्सप्लॉइट बहुत लंबे समय तक काम करता है। इसलिए उनके लिए यह थोड़ा निराशाजनक हो सकता है कि यह एक आम घटना है। RAND के अनुसार, औसत कमजोरी 6.9 वर्षों तक जीवित रहती है, जिसमें उनके द्वारा मापा गया सबसे छोटा डेढ़ साल तक जीवित रहा। हैकर्स के लिए यह निराशाजनक है क्योंकि इसके माध्यम से उन्हें पता चलता है कि जब भी वे कोई एक्सप्लॉइट बनाते हैं जो वर्षों तक वेब पर कहर बरपाता है, तो वे जरूरी नहीं कि विशेष हों। हालांकि, उनके पीड़ितों के लिए, यह भयानक है।
औसत "लंबे समय तक जीवित" कमजोरी को खोजने में 9.53 साल लगेंगे। यह लगभग एक दशक है जो दुनिया के हर हैकर को इसे खोजने और अपने लाभ के लिए उपयोग करने के लिए है। यह परेशान करने वाला आंकड़ा कोई आश्चर्य की बात नहीं है, क्योंकि सुविधा अक्सर विकास प्रक्रिया में शॉटगन पर कॉल करती है जबकि सुरक्षा को पिछली सीट पर छोड़ दिया जाता है। इस घटना के अस्तित्व का एक और कारण पुरानी कहावत है, "आप नहीं जानते कि आप क्या नहीं जानते।" यदि आपके दस प्रोग्रामरों की टीम यह पता नहीं लगा सकती कि आपके सॉफ्टवेयर में कोई कमजोरी है, तो निश्चित रूप से हजारों हैकर्स में से एक जो सक्रिय रूप से इसकी तलाश कर रहे हैं, आपको एक हाथ देंगे और आपको इसे कठिन तरीके से दिखाएंगे। और फिर आपको इसे पैच करना होगा, जो अपने आप में एक और कैन ऑफ वर्म्स है, क्योंकि आप अंत में एक और कमजोरी पेश कर सकते हैं, या हैकर्स जल्दी से आपके द्वारा लागू किए गए को दरकिनार करने का तरीका ढूंढ सकते हैं।
परोपकारिता उच्च आपूर्ति में नहीं है
Finifter, Akhawe, और Wagner ने 2013 में पाया कि खोजी गई सभी कमजोरियों में से, केवल 2 - 2.5 प्रतिशत वास्तव में उन अच्छे सामरी लोगों द्वारा रिपोर्ट की गई थीं जो भेद्यता पुरस्कार कार्यक्रम के हिस्से के रूप में सुबह की सैर पर उनके सामने आए थे (यानी "हम आपको उपहार देते हैं यदि आप हमें बताते हैं कि हमारे सॉफ्टवेयर को कैसे हैक किया जा सकता है")। बाकी या तो डेवलपर द्वारा स्वयं खोजे गए थे या एक हैकर द्वारा जिसने "दर्दनाक" रूप से सभी को इसके अस्तित्व से "प्रबुद्ध" किया। हालांकि अध्ययन क्लोज्ड और ओपन सोर्स के बीच अंतर नहीं करता है, मेरा संदेह है कि ओपन-सोर्स सॉफ्टवेयर को अधिक परोपकारी रिपोर्टिंग मिलती है (चूंकि सोर्स कोड खुले में होने से लोगों के लिए यह रिपोर्ट करना आसान हो जाता है कि कहां कमजोरी होती है)।
निष्कर्ष
मेरी आशा है कि यह इस बात का परिप्रेक्ष्य प्रदान करता है कि एक्सप्लॉइट का शिकार होना कितना आसान है और ज़ीरो-डे एक्सप्लॉइट्स उतने दुर्लभ नहीं हैं जितने लगते हैं। उनके बारे में अभी भी कई अनुत्तरित प्रश्न हैं, और शायद निकट अध्ययन हमें उन उपकरणों से लैस करने में मदद करेगा जिनकी हमें उनसे निपटने के लिए आवश्यकता है। यहां विचार यह है कि हमें अपने पैर की उंगलियों पर रहने की आवश्यकता है।
क्या आप इन निष्कर्षों से आश्चर्यचकित थे? एक कमेंट में हमें इसके बारे में सब बताएं!
