MONASTUCE Le 1er blog ivoirien dédié à la sécurité informatique et à la cybersécurité
Une vulnérabilité zero-day ou jour 0 est un défaut de sécurité qui n’a pas encore été corrigé par le vendeur et qui peut être exploité et transformé en une arme puissante; c’est couteau à double tranchant. Les gouvernements découvrent, achètent et utilisent des jours-zéro à des fins militaires, de renseignement et d’application de la loi; car elle laisse la société sans défense contre d’autres attaquants qui découvrent la même vulnérabilité.
Tous les logiciels ont des bugs, et certains de ces bugs sont des failles de sécurité qui peuvent être exploitées et transformées en armes.
Les vulnérabilités de Zero-days se vendent à des prix très élevés sur le marché noir, mais les primes de bugs visent à encourager la découverte et la notification des failles de sécurité au vendeur. La crise des correctifs signifie que les jours zéro deviennent de moins en moins importants.
Pourquoi les zero-days ou jours zéro sont dangereux
Un zéro-jour tire son nom du nombre de jours pendant lesquels un correctif a existé pour le défaut: zéro. Une fois que le fournisseur a annoncé un correctif de sécurité, le bug n’est plus un jour zéro.
Dans le passé, disons il y a dix ans, un seul zéro-jour aurait pu suffire pour un accès à distance. Ceci a rendu la découverte et la possession de n’importe quel zéro-jour donné extrêmement puissant.
Aujourd’hui, les mesures de réduction de la sécurité dans les systèmes d’exploitation grand public tels que Windows 10 ou iOS d’Apple signifient qu’il est souvent nécessaire d’enchaîner plusieurs, parfois des douzaines, de zéro-jours mineurs pour obtenir le contrôle complet d’une cible donnée.
Cela a conduit à favoriser les transactions financières au marché noir pour des paiement de vulnérabilités zero-days ou jours zéro
Le marché noir pour les jours-zéro
Vous voulez faire 1,5 million de dollars? Trouvez le bon type d’iPhone zéro-jour et vendez-le à Zerodium, l’un des acteurs les plus en vue qui prétend payer « les plus grandes primes sur le marché », selon leur site Web. Des courtiers comme Zerodium ne vendent que pour le complexe militaro-espionnage, mais la police secrète des régimes répressifs dans le monde est également connue pour acheter des exploits du jour zéro pour pirater des journalistes et persécuter des dissidents.
Contrairement au marché gris qui restreint les ventes aux gouvernements approuvés, le marché noir se vendra à tout le monde, y compris le crime organisé, les cartels de la drogue et des pays comme la Corée du Nord ou l’Iran qui sont exclus du marché gris.
