एनवाई टाइम्स: सरकारें 0 दिन में रुचि रखती हैं

सरकारी एजेंसियों के ज्ञान के साथ किए गए संचालन के लिए शून्य-दिवस की कमजोरियों का उपयोग करने और विशेष सुरक्षा कंपनियों या उनके लिए काम करने वाले ठेकेदारों को शामिल करने का विषय तेजी से लोकप्रिय हो रहा है और, आंशिक रूप से, कम जानकारीपूर्ण। यह लोकप्रिय है क्योंकि इस जानकारी को मीडिया में कई वर्षों से प्रसारित किया गया है, लेकिन कम जानकारीपूर्ण है, क्योंकि चल रही परियोजनाओं को वर्गीकृत किया गया है और कोई भी उन्हें खुलासा करने में दिलचस्पी नहीं रखता है, क्योंकि ऐसे अनुबंधों में बहुत सारा पैसा शामिल होता है। इस विषय की प्रासंगिकता का एक कारण खतरों के उद्भव के साथ ऐसी कमजोरियों का संबंध है, जिन्हें "साइबर हथियार" (साइबर हथियार) के रूप में जाना जाता है। कनेक्शन यह है कि इन कमजोरियों की खोज पीड़ित के कंप्यूटर के लिए खतरे के मामलों की जांच के साथ हुई। जाहिर है, बड़ी एवी कंपनियां साइबर हथियारों का पता लगाती हैं, या बल्कि एक छोटी एवी कंपनी शुरू में इसका पता लगा सकती है, लेकिन प्रासंगिक अनुभव, बड़े ग्राहकों और खतरे के परिदृश्य की दृष्टि वाली केवल बड़ी कंपनियां ही साइबर हथियार के रूप में खतरा पैदा कर सकती हैं। स्टक्सनेट, फ्लेम जैसे नाम पहले से ही लगभग सभी को ज्ञात हैं, इसके अलावा, लक्षित अभियानों के ढांचे के भीतर, वे साधारण दुर्भावनापूर्ण कार्यक्रमों का भी उपयोग करते हैं जो अपने स्वयं के उद्देश्यों के लिए "पुनर्निर्देशित" हो सकते हैं।

एक लक्षित हमले या साइबर हथियार के सबसे महत्वपूर्ण गुणों में से एक माना जा सकता है 0day कमजोरियों का उपयोग जो सिस्टम में मैलवेयर को गुप्त रूप से स्थापित करने के लिए किया जाता है। पिछले कुछ वर्षों में, एवी कंपनियों, जो कंप्यूटरों के लिए खतरों की जांच के मामलों से निपटती हैं, और सुरक्षा में शामिल अन्य सुरक्षा कंपनियों से, पिछले कुछ वर्षों में दिखाई देने वाली जानकारी स्पष्ट रूप से संकेत देती है कि हमलों में 0day कमजोरियां हैं विशिष्ट राज्यों के राज्य सुरक्षा निकायों की आड़ में, और सरकार की अनुमति से। ऐसी सेवाएं प्रदान करने वाले संगठनों के बारे में, साथ ही ऐसे व्यवसाय के कुछ मॉडलों की व्याख्या, NY टाइम्स अखबार द्वारा एक लेख प्रकाशित किया गया था, जिसमें से जानकारी, हमारी टिप्पणियों के साथ, हम प्रदान करना चाहेंगे।

ReVuln
http://revuln.com/
https://twitter.com/revuln



स्थान : माल्टा मुख्यालय।

प्रोफाइल: सॉफ्टवेयर में कमजोरियों का अनुसंधान, आईसीएस (एसीएस) और ग्राहकों को उनके बारे में जानकारी का प्रावधान (सदस्यता द्वारा)। ग्राहक राष्ट्रीय सुरक्षा एजेंसी (एनएसए) सहित बड़े संगठन हैं।

VUPEN
http://www.vupen.com/
https://twitter.com/VUPEN



स्थान : फ्रांस, मोंटपेलियर।

प्रोफाइल: सॉफ्टवेयर में कमजोरियों की खोज, विकास का शोषण। यह काम करता है, जिसमें विभिन्न संगठनों और विभिन्न देशों की सरकारों के लिए काम करने वाले संगठन शामिल हैं (जैसा कि वे कहते हैं)। $ 100k सदस्यता।

निर्गमन बुद्धि
https://www.exodusintel.com/
https://twitter.com/ExodusIntel



स्थान : संयुक्त राज्य अमेरिका, ऑस्टिन (TX)।
प्रोफाइल: सॉफ्टवेयर में "अनन्य" कमजोरियों का अनुसंधान, विकास का शोषण।

Netragard
http://www.netragard.com/
https://twitter.com/Netragard



स्थान : संयुक्त राज्य अमेरिका, मैसाचुसेट्स।
प्रोफाइल: पैठ परीक्षण, भेद्यता अनुसंधान।

बेशक, इनमें से कोई भी कंपनी अपने ग्राहकों के नाम का खुलासा नहीं करेगी। Shawki Bekrar (CEO VUPEN) ने कहा कि उनकी कंपनी उन देशों के लिए कारनामे नहीं बेचती है, जिनके पास यूरोप और संयुक्त राज्य अमेरिका के देशों के साथ समस्याएँ या टकराव (शर्मिंदा) हैं।

इस मुद्दे पर विवाद हावर्ड श्मिट (व्हाइट हाउस साइबरस्पेस ग्रुप के पूर्व समन्वयक) के बयान को कम किया जा सकता है - “अपने देश की रक्षा करने के लिए, आपको अन्य देशों में कमजोरियों को खोजने की आवश्यकता है। लेकिन समस्या यह है कि हम सभी कम सुरक्षित होते जा रहे हैं। ” एडवर्ड स्नोडेन द्वारा जारी आंकड़ों के अनुसार, अमेरिकी सरकार के साथ काम करने वाली कंपनियां 0day कमजोरियों के खरीदारों में थीं। वाशिंगटन में "सामरिक और अंतर्राष्ट्रीय अध्ययन केंद्र" के अनुसार, रूस, ब्रिटेन, इजरायल, भारत जैसे देश इस मामले में विशेष रूप से रुचि रखने वाले देश हैं।

अपने आप में, आधुनिक वेब ब्राउज़र और अन्य सॉफ़्टवेयर में कमजोरियों की खोज संसाधन प्रबंधकों के लिए काफी लाभदायक है, हालांकि यह बहुत श्रमसाध्य है। Google, Microsoft और Facebook जैसी बड़ी कंपनियों के पास विशेष बग बाउंटी प्रोग्राम हैं जो एक खतरनाक भेद्यता का पता लगाने के लिए मूल्य को नियंत्रित करते हैं (आमतौर पर एक भेद्यता जो कोड को दूरस्थ रूप से निष्पादित करने के लिए उपयोग की जा सकती है)। Microsoft ने हाल ही में अपना बग बाउंटी प्रोग्राम लॉन्च किया है और पहले ही इवान फ्रेट्रिक रिसीवर को रक्षा के लिए ब्लूहैट बोनस के हिस्से के रूप में पहले $ 50k का भुगतान कर चुका है (उसने कारनामों में आरओपी का पता लगाने और रोकथाम प्रणाली की शुरुआत की - ROPGuard)।



2010 में अपने बग बाउंटी प्रोग्राम के लॉन्च की शुरुआत के बाद से, Google ने क्रोम वेब ब्राउज़र में कमजोरियों को खोजने के लिए $ 3 मिलियन से अधिक का भुगतान किया है। फेसबुक ने 2011 में एक समान कार्यक्रम खोला और $ 1 मिलियन से अधिक का भुगतान किया। यह ध्यान दिया जाना चाहिए कि अन्य कंपनियों के विपरीत, Apple का ऐसा कोई कार्यक्रम नहीं है। लेकिन iOS के लिए कमजोरियां सबसे महंगी हैं। एक मामले में, आईओएस के लिए एक भेद्यता $ 500 हजार में बेची गई थी।

अमेरिकी सरकार के लिए 0day की बिक्री और अनुसंधान क्षेत्र में अन्य महत्वपूर्ण, लेकिन बहुत कम ध्यान देने योग्य खिलाड़ी हैं, उदाहरण के लिए, स्टार्टअप एंडगेम (वर्जीनिया, यूएसए)। एनएसए के पूर्व निदेशक उसके साथ घनिष्ठ रूप से जुड़े हुए हैं। कंपनी कई विशेष सॉफ्टवेयर टूल विकसित करने में माहिर है जो इसे मुख्य रूप से अमेरिकी सरकार के लिए बेचती है और जिसका उपयोग साइबर जासूसी के खिलाफ लड़ाई में इस्तेमाल किया जा सकता है, साथ ही आपत्तिजनक उद्देश्यों के लिए भी किया जा सकता है।

इस प्रकार, हम विभिन्न प्रकार की कमजोरियों, कारनामों और अन्य साधनों को बेचने वाले बाजार के बारे में बात कर रहे हैं जिनका उपयोग आक्रामक और रक्षात्मक उद्देश्यों (आक्रामक / रक्षात्मक) दोनों के लिए किया जा सकता है। सरकारें ग्राहकों के रूप में कार्य करती हैं, और सुरक्षा कंपनियां विक्रेताओं के रूप में। शौकी बेकरार बताते हैं कि इस बाजार में बढ़ती मांग के परिणामस्वरूप, ऐसी सेवाओं की कीमत, वास्तव में, हर साल दोगुनी हो जाती है।

www.nytimes.com/2013/07/14/world/europe/nations-buying-as-hackers-sell-computer-flaws.html