Project Zero

Project Zero — назва команди аналітиків безпеки, що працюють в Google, завданням яких є пошук вразливостей нульового дня. Про створення команди було оголошено 15 липня 2014 року.

Project Zero
Посилання	googleprojectzero.blogspot.com
Комерційний	ні
Тип	команда^[d]
Мови	англійська
Власник	Google
Започатковано	15 липня 2014^[1]
Стан	активний

Історія

Виявивши ряд недоліків у програмному забезпеченні, що використовується багатьма користувачами під час вивчення інших проблем, таких як критична уразливість «Heartbleed», компанія Google вирішила створити групу zero-day, присвячену пошуку таких вразливостей не тільки в програмному забезпеченні Google, але й у будь-якому програмному забезпеченні, що використовується його користувачами. Новий проєкт був оголошений 15 липня 2014 року в блозі безпеки Google. Незважаючи на те, що ідея про створення «Project Zero» прослідковується з 2010 року, команду Google підштовхнуло до створення команди після викриття масового стеження в 2013 році Едвардом Сноуденом. Спочатку команду очолив Кріс Еванс, колишній керівник команди Google Chrome по безпеці, який згодом приєднався до Tesla Motors. Інші відомі члени включають дослідників з питань безпеки, таких як ^[en], ^[en] та ^[en].

Виявлення помилок

Про баги, знайдені командою Project Zero, повідомляється виробнику і публікується лише після того, як випущено патч або через 90 днів, якщо компанія не виправила помилку. 90-денний термін є способом інформування, який надає компаніям програмного забезпечення 90 днів для вирішення проблеми, перш ніж проінформувати громадськість про це, для того щоб самі користувачі могли вжити необхідні кроки, щоб уникнути нападів.

Учасники

Відомі

• Бен Хокс

• Тавіс Орманді

• Ян Бір

• Янн Хорн

Колишні

• Джордж Хоц

• Кріс Еванс

• Метт Тайт

• Стівен Віттіо

Відомі відкриття

30 вересня 2014 року Google виявила помилку безпеки під час системного виклику Windows 8.1 «NtApphelpCacheControl», що дозволяє звичайному користувачеві отримати адміністративний доступ. Microsoft був негайно попереджений про проблему, проте компанія не вирішила проблему протягом 90 днів, тому інформація про помилку була оприлюднена 29 грудня 2014 року. Оприлюднення помилки для громадськості викликало відповідь від Microsoft про те, що вони працюють над проблемою.

19 лютого 2017 року Google виявив недолік в зворотному проксі Cloudflare, що призвело до того, що їхні серверні панелі пройшли повз закінчення буфера та повернули пам'ять, що містила конфіденційну інформацію, таку як HTTP-файли cookie, токени аутентифікації, тіла HTTP POST та інші конфіденційні дані. Деякі з цих даних були кешовані пошуковими системами. Член команди Project Zero назвав цей недолік «Cloudbleed».

27 березня 2017 року член команди Тавіс Орманді виявив вразливість у популярному менеджері паролів LastPass. 31 березня 2017 року LastPass оголосив, що вони вирішили проблему.

Проєкт Zero був залучений до виявлення уразливостей Meltdown і Spectre, що зачіпають багато сучасних процесорів, які були виявлені в середині 2017 року та розкриті на початку січня 2018 року. Баги були виявлені Янном Горном, незалежно від інших дослідників, які повідомили про недоліки безпеки. 9 січня 2018 року деталі помилок були розкриті через зростаючу спекуляцію.

Примітки

1. Announcing Project Zero
2. Evans, Chris (15 липня 2014). . Google Online Security Blog. Архів оригіналу за 19 січня 2015. Процитовано 19 квітня 2018.
3. . Twitter (укр.). Архів оригіналу за 9 березня 2016. Процитовано 11 квітня 2018.
4. . WIRED (амер.). Архів оригіналу за 5 січня 2015. Процитовано 11 квітня 2018.
5. . Engadget (амер.). Архів оригіналу за 4 січня 2015. Процитовано 11 квітня 2018.
6. . SlashGear (амер.). 3 січня 2018. Архів оригіналу за 13 червня 2018. Процитовано 11 квітня 2018.
7. . Lawfare (англ.). Архів оригіналу за 8 квітня 2018. Процитовано 11 квітня 2018.
8. Ben (18 грудня 2017). . Project Zero. Архів оригіналу за 10 квітня 2018. Процитовано 11 квітня 2018.
9. . bugs.chromium.org (англ.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
10. . bugs.chromium.org (англ.). Архів оригіналу за 1 квітня 2018. Процитовано 11 квітня 2018.
11. . Cloudflare Blog. 23 лютого 2017. Архів оригіналу за 2 квітня 2018. Процитовано 11 квітня 2018.
12. . Naked Security (амер.). 29 березня 2017. Архів оригіналу за 10 жовтня 2018. Процитовано 11 квітня 2018.
13. . The LastPass Blog (амер.). 27 березня 2017. Архів оригіналу за 7 квітня 2018. Процитовано 11 квітня 2018.
14. . WIRED (амер.). Архів оригіналу за 3 січня 2018. Процитовано 11 квітня 2018.

Посилання

• Офіційний блог [ 15 березня 2018 у Wayback Machine.]

• База даних виявлених вразливостей [ 12 квітня 2018 у Wayback Machine.]

• Перелік вразливостей, знайдених компанією Google перед початком проєкту [ 31 січня 2015 у Wayback Machine.]