Proyecto Cero

Es posible que la introducción de este artículo sea demasiado breve para resumir adecuadamente los puntos clave . Considere ampliar la introducción para brindar una descripción general accesible de todos los aspectos importantes del artículo. ( Agosto de 2023 )

Project Zero es un equipo de analistas de seguridad contratado por Google y cuya misión es encontrar vulnerabilidades de día cero . ^[1] Se anunció el 15 de julio de 2014. ^[2]

Después de encontrar una serie de fallos en el software utilizado por muchos usuarios finales mientras investigaba otros problemas, como la vulnerabilidad crítica " Heartbleed ", Google decidió formar un equipo a tiempo completo dedicado a encontrar dichas vulnerabilidades, no solo en el software de Google sino en cualquier software utilizado por sus usuarios. El nuevo proyecto se anunció el 15 de julio de 2014 en el blog de seguridad de Google. ^[2] Cuando se lanzó, una de las principales innovaciones que proporcionó Project Zero fue un plazo estricto de divulgación de 90 días junto con un rastreador de errores visible públicamente donde se documenta el proceso de divulgación de vulnerabilidades. ^[3]

Si bien la idea de Project Zero se remonta a 2010, su creación se enmarca en la tendencia más amplia de las iniciativas de contravigilancia de Google a raíz de las revelaciones de vigilancia global de 2013 por parte de Edward Snowden . El equipo estaba dirigido anteriormente por Chris Evans, ex jefe del equipo de seguridad de Chrome de Google , quien posteriormente se unió a Tesla Motors . ^[4] Otros miembros notables incluyen a los investigadores de seguridad Ben Hawkes , Ian Beer y Tavis Ormandy . ^[5] Hawkes finalmente se convirtió en el gerente del equipo y luego renunció el 4 de mayo de 2022.

El equipo no se centra únicamente en encontrar errores y ataques novedosos, sino también en investigar y documentar públicamente cómo se pueden explotar esas fallas en la práctica. Esto se hace para garantizar que los defensores tengan un conocimiento suficiente de los ataques; el equipo mantiene un extenso blog de investigación con artículos que describen ataques individuales en detalle. ^[6]

Los errores encontrados por el equipo de Project Zero se informan al fabricante y solo se hacen visibles públicamente una vez que se ha lanzado un parche ^[2] o si han pasado 90 días sin que se haya lanzado un parche. ^[7] El plazo de 90 días es la forma de Google de implementar la divulgación responsable , dando a las empresas de software 90 días para solucionar un problema antes de informar al público para que los propios usuarios puedan tomar las medidas necesarias para evitar ataques. ^[7] Ha habido casos en los que el proveedor no produce ninguna solución para las fallas descubiertas dentro de los 90 días, antes de la divulgación pública por parte del equipo, lo que aumenta el riesgo para los usuarios ya vulnerables. ^[8]

• Cerveza Ian ^[5]
• Jann Horn ^[9]
• Natalie Silvanovich ^[10]
• James Forshaw ^[11]
• Piedra de Maddie ^[12]

• Ben Hawkes ^[5]
• Tavis Ormandy ^[5]
• Gal Beniamini ^[13]
• Thomas Dullien ^[14]
• Chris Evans ^[5]
• George Hotz ^[5]
• Matt Tait ^[15]
• Steven Vittitoe ^[11]

• Uno de los primeros informes del Proyecto Cero que atrajo la atención involucraba una falla que permitía a los hackers tomar el control del software que ejecutaba el navegador Safari . ^[16] Por sus esfuerzos, el equipo, específicamente Beer, fue citado en la breve nota de agradecimiento de Apple.
• El 30 de septiembre de 2014, Google detectó una falla de seguridad en la llamada al sistema "NtApphelpCacheControl" de Windows 8.1 , que permite a un usuario normal obtener acceso administrativo. ^[17] Microsoft fue notificado del problema inmediatamente, pero no lo solucionó en 90 días, lo que significó que la información sobre el error se hizo pública el 29 de diciembre de 2014. ^[7] La ​​publicación del error al público provocó una respuesta de Microsoft de que estaban trabajando en el problema. ^[7]
• El 9 de marzo de 2015, el blog de Google Project Zero publicó una publicación invitada que revelaba cómo una falla de hardware previamente conocida en DRAM comúnmente implementada llamada Row Hammer podría explotarse para escalar privilegios para usuarios locales. ^[18] Esta publicación generó una gran cantidad de investigaciones de seguimiento tanto en la comunidad académica como en la de hardware.
• El 19 de febrero de 2017, Google descubrió una falla en los servidores proxy inversos de Cloudflare ^[19] que hacía que sus servidores perimetrales se ejecutaran más allá del final de un búfer y devolvieran memoria que contenía información privada, como cookies HTTP, tokens de autenticación, cuerpos de HTTP POST y otros datos confidenciales. Algunos de estos datos fueron almacenados en caché por los motores de búsqueda ^[20] . Un miembro del equipo de Project Zero se refirió a esta falla como Cloudbleed ^[19] .
• El 27 de marzo de 2017, Tavis Ormandy de Project Zero descubrió una vulnerabilidad en el popular administrador de contraseñas LastPass . ^[21] El 31 de marzo de 2017, LastPass anunció que había solucionado el problema. ^[22]
• Project Zero participó en el descubrimiento de las vulnerabilidades Meltdown y Spectre que afectan a muchas CPU modernas , que se descubrieron a mediados de 2017 y se divulgaron a principios de enero de 2018. ^[23] El problema fue descubierto por Jann Horn independientemente de los otros investigadores que informaron sobre la falla de seguridad y estaba programado para ser publicado el 9 de enero de 2018 antes de adelantar la fecha debido a la creciente especulación. ^[9] El 1 de febrero de 2019, Project Zero informó a Apple que habían detectado un conjunto de cinco cadenas de explotación de iPhone separadas y completas que afectaban a iOS 10 a través de todas las versiones de iOS 12, sin apuntar a usuarios específicos, pero con la capacidad de infectar a cualquier usuario que visitara un sitio infectado. Una serie de sitios pirateados se estaban utilizando en ataques indiscriminados de abrevadero contra sus visitantes, que Project Zero estimó que reciben miles de visitantes por semana. Project Zero sintió que los ataques indicaban que un grupo estaba haciendo un esfuerzo sostenido para piratear a los usuarios de iPhones en ciertas comunidades durante un período de al menos dos años. ^[24] Apple corrigió los exploits en el lanzamiento de iOS 12.1.4 el 7 de febrero de 2019, ^[25] y dijo que las correcciones ya estaban en marcha cuando Project Zero lo informó. ^[26]
• El 18 de abril de 2019, Project Zero descubrió un error en Apple iMessage en el que un determinado mensaje malformado podía hacer que Springboard "... se bloqueara y reapareciera repetidamente, lo que hacía que la interfaz de usuario no se mostrara y el teléfono dejara de responder a la entrada". ^[27] Esto bloquearía por completo la interfaz de usuario del iPhone y lo dejaría inoperativo. Este error persistiría incluso después de un reinicio completo . La falla también afectó a iMessage en Mac con diferentes resultados. Apple solucionó el error dentro del período de 90 días antes de que Project Zero lo lanzara.
• En diciembre de 2021, el equipo publicó un desglose técnico del exploit FORCEDENTRY basado en su colaboración con el grupo de Ingeniería y Arquitectura de Seguridad (SEAR) de Apple. ^[28]

• Defensa cibernética proactiva

• Sitio web oficial