जीरो डे अटैक
एक शून्य दिन का हमला (जिसे डे जीरो के रूप में भी जाना जाता है) एक ऐसा हमला है जो संभावित गंभीर सॉफ़्टवेयर सुरक्षा कमजोरी का शोषण करता है जिससे विक्रेता या डेवलपर अनजान हो सकते हैं। सॉफ़्टवेयर उपयोगकर्ता के लिए खतरे को सीमित करने के लिए खोजे जाने के बाद सॉफ़्टवेयर डेवलपर को जल्द से जल्द कमजोरी का समाधान करना चाहिए। समाधान को सॉफ्टवेयर पैच कहा जाता है। ज़ीरो-डे हमलों का उपयोग इंटरनेट ऑफ थिंग्स (IoT) पर हमला करने के लिए भी किया जा सकता है।
सॉफ़्टवेयर डेवलपर ने समस्या के बारे में जितने दिनों तक बात की है, उससे शून्य-दिन का हमला हो जाता है।
शून्य दिवस हमला समझाया
एक शून्य दिन के हमले में मैलवेयर, स्पायवेयर या उपयोगकर्ता जानकारी तक अनधिकृत पहुंच शामिल हो सकती है। ऑपरेटिंग सिस्टम, एंटीवायरस सॉफ़्टवेयर और इंटरनेट ब्राउज़र सहित - स्वचालित रूप से अपडेट करने के लिए और नियमित रूप से शेड्यूल किए गए अपडेट के बाहर किसी भी अनुशंसित अपडेट को तुरंत इंस्टॉल करके - उपयोगकर्ता अपने सॉफ़्टवेयर को सेट करके शून्य दिवस के हमलों से खुद की रक्षा कर सकते हैं। कहा जा रहा है कि, अपडेटेड एंटीवायरस सॉफ़्टवेयर होने से, किसी उपयोगकर्ता को शून्य दिन के हमले से बचाने की आवश्यकता नहीं होगी, क्योंकि जब तक सॉफ्टवेयर भेद्यता सार्वजनिक रूप से ज्ञात नहीं होती है, तब तक एंटीवायरस सॉफ़्टवेयर के पास इसका पता लगाने का कोई तरीका नहीं हो सकता है। मेजबान घुसपैठ की रोकथाम प्रणाली भी घुसपैठ को रोकने और डेटा की रक्षा करके शून्य दिन के हमलों से बचाने में मदद करती है।
शून्य-दिन की भेद्यता के बारे में एक अनलॉक कार के दरवाजे के रूप में सोचें जो कि मालिक को लगता है कि बंद है लेकिन एक चोर का पता चलता है। चोर, कार के मालिक के दस्ताने डिब्बे या ट्रंक से अनचाहे और चोरी की चीजों में मिल सकता है जो कि दिनों के बाद तक देखा नहीं जा सकता है जब नुकसान पहले से ही हो चुका है और चोर लंबे समय तक चला गया है।
जबकि शून्य-दिन की कमजोरियों को आपराधिक हैकरों द्वारा शोषण किए जाने के लिए जाना जाता है, उन्हें सरकारी सुरक्षा एजेंसियों द्वारा भी शोषण किया जा सकता है जो उन्हें निगरानी या हमलों के लिए उपयोग करना चाहते हैं। वास्तव में, सरकारी सुरक्षा एजेंसियों से शून्य-दिन की कमजोरियों की इतनी मांग है कि वे इन कमजोरियों के बारे में जानकारी खरीदने और बेचने के लिए बाजार को चलाने में मदद करते हैं और उनका शोषण कैसे करते हैं।
शून्य दिवस के कारनामे सार्वजनिक रूप से केवल सॉफ्टवेयर विक्रेता को बताए जा सकते हैं, या तीसरे पक्ष को बेचे जा सकते हैं। यदि वे बेचे जाते हैं, तो उन्हें विशेष अधिकारों के साथ या बिना बेचा जा सकता है। एक सुरक्षा दोष का सबसे अच्छा समाधान, इसके लिए जिम्मेदार सॉफ़्टवेयर कंपनी के दृष्टिकोण से, एक नैतिक हैकर या सफेद टोपी के लिए कंपनी के दोष को निजी तौर पर प्रकट करना है, ताकि आपराधिक हैकरों की खोज से पहले इसे ठीक किया जा सके। लेकिन कुछ मामलों में, एक से अधिक पार्टियों को पूरी तरह से इसे हल करने के लिए भेद्यता को संबोधित करना चाहिए, इसलिए एक पूर्ण निजी प्रकटीकरण असंभव हो सकता है।
शून्य-दिन की जानकारी के लिए अंधेरे बाजार में, आपराधिक हैकर्स बहुमूल्य जानकारी चोरी करने के लिए असुरक्षित सॉफ़्टवेयर के माध्यम से कैसे तोड़ते हैं, इसके बारे में विवरण का आदान-प्रदान करते हैं। ग्रे मार्केट में, शोधकर्ता और कंपनियां आतंकवादियों, खुफिया एजेंसियों और कानून प्रवर्तन को जानकारी बेचते हैं। सफेद बाजार में, कंपनियां डेवलपर्स को सॉफ्टवेयर कमजोरियों का पता लगाने और खुलासा करने के लिए सफेद टोपी हैकर्स या सुरक्षा शोधकर्ताओं का भुगतान करती हैं ताकि वे आपराधिक हैकर्स को खोजने से पहले समस्याओं को ठीक कर सकें।
खरीदार, विक्रेता, और उपयोगिता के आधार पर, शून्य दिन की जानकारी कुछ हजार से कई सौ हजार डॉलर तक हो सकती है, जिससे इसमें भाग लेने के लिए संभावित आकर्षक बाजार बन सकता है। लेनदेन पूरा होने से पहले, विक्रेता को एक प्रमाण प्रदान करना चाहिए। -ऑफ़-कॉन्सेप्ट (PoC) शून्य-दिन के शोषण के अस्तित्व की पुष्टि करने के लिए। जो लोग शून्य-दिन की सूचनाओं का आदान-प्रदान करना चाहते हैं, उनके लिए, टोर नेटवर्क शून्य दिन के लेनदेन को बिटकॉइन का उपयोग करके गुमनाम रूप से संचालित करने की अनुमति देता है।
ज़ीरो-डे के हमलों की तुलना में खतरे की तुलना में कम हो सकता है जैसे वे ध्वनि करते हैं। सरकारों के पास अपने नागरिकों की जासूसी करने के आसान तरीके हो सकते हैं और व्यवसायों या व्यक्तियों के शोषण के लिए शून्य दिन सबसे प्रभावी तरीका नहीं हो सकता है। एक हमले को रणनीतिक और लक्ष्य के ज्ञान के बिना अधिकतम प्रभाव के लिए तैनात किया जाना चाहिए। एक साथ लाखों कंप्यूटरों पर शून्य-दिन के हमले को उजागर करने से भेद्यता के अस्तित्व का पता चल सकता है और अपने अंतिम लक्ष्य को पूरा करने के लिए हमलावरों के लिए जल्दी से एक पैच जारी किया जा सकता है।
शून्य दिवस हमलों के उदाहरण
अप्रैल 2017 में, Microsoft को अपने Microsoft Word सॉफ़्टवेयर पर शून्य-दिन के हमले के बारे में अवगत कराया गया था। हमलावरों ने Dridex बैंकर ट्रोजन नाम के एक मैलवेयर का इस्तेमाल किया, जो सॉफ्टवेयर के एक असुरक्षित और बेजोड़ संस्करण का उपयोग करता है। ट्रोजन ने हमलावरों को Word दस्तावेज़ों में दुर्भावनापूर्ण कोड एम्बेड करने की अनुमति दी, जो दस्तावेज़ों को खोलने पर स्वचालित रूप से चालू हो जाते हैं। हमले की खोज एंटीवायरस विक्रेता मैकएफी ने की थी जिसने माइक्रोसॉफ्ट को उसके समझौता किए गए सॉफ़्टवेयर की सूचना दी थी। हालांकि अप्रैल में शून्य-दिवस के हमले का खुलासा नहीं किया गया था, लेकिन जनवरी से ही लाखों उपयोगकर्ताओं को लक्षित किया गया था।
इनवेस्टमेंट अकाउंट्स प्रोवाइडर नाम की तुलना करें। विज्ञापनदाता का विवरण × इस तालिका में दिखाई देने वाले प्रस्ताव उन साझेदारियों से हैं जिनसे इन्वेस्टोपेडिया को मुआवजा मिलता है।