Proyecto Cero

Project Zero es un equipo de analistas de seguridad empleados por Google encargados de encontrar vulnerabilidades de día cero . ^{[ 1 ]} Fue anunciado el 15 de julio de 2014. ^{[ 2 ]}

Tras descubrir varias fallas en el software utilizado por muchos usuarios finales mientras investigaba otros problemas, como la vulnerabilidad crítica " Heartbleed ", Google decidió formar un equipo a tiempo completo dedicado a encontrar dichas vulnerabilidades, no solo en el software de Google, sino en cualquier software utilizado por sus usuarios. El nuevo proyecto se anunció el 15 de julio de 2014 en el blog de seguridad de Google. ^{[ 2 ]} Cuando se lanzó, una de las principales innovaciones que proporcionó Project Zero fue un plazo estricto de 90 días para la divulgación, junto con un sistema de seguimiento de errores visible públicamente donde se documenta el proceso de divulgación de vulnerabilidades. ^{[ 3 ]}

Aunque la idea del Proyecto Zero se remonta a 2010, su creación se enmarca dentro de la tendencia general de las iniciativas de contravigilancia de Google tras las revelaciones sobre vigilancia global realizadas por Edward Snowden en 2013. El equipo estuvo dirigido anteriormente por Chris Evans, exjefe del equipo de seguridad de Chrome de Google , quien posteriormente se unió a Tesla Motors . ^{[ 4 ]} Otros miembros destacados fueron los investigadores de seguridad Ben Hawkes , Ian Beer y Tavis Ormandy . ^{[ 5 ]} Hawkes llegó a ser el director del equipo y renunció el 4 de mayo de 2022.

El equipo no solo se centra en encontrar errores y ataques novedosos, sino también en investigar y documentar públicamente cómo se podrían explotar dichas vulnerabilidades en la práctica. Esto se hace para garantizar que los defensores comprendan suficientemente los ataques; el equipo mantiene un extenso blog de investigación con artículos que describen ataques individuales en detalle. ^{[ 6 ]}

Los errores encontrados por el equipo de Project Zero se reportan al fabricante y solo se hacen públicos una vez que se ha publicado un parche ^{[ 2 ]} o si han transcurrido 90 días sin que se haya publicado un parche. ^{[ 7 ]} El plazo de 90 días es la forma en que Google implementa la divulgación responsable , dando a las empresas de software 90 días para solucionar un problema antes de informar al público para que los propios usuarios puedan tomar las medidas necesarias para evitar ataques. ^{[ 7 ]} Ha habido casos en los que el proveedor no produce ninguna solución para las fallas descubiertas dentro de los 90 días, antes de la divulgación pública por parte del equipo, aumentando el riesgo para los usuarios ya vulnerables. ^{[ 8 ]}

• Ian Beer ^{[ 5 ]}
• Jann Horn ^{[ 9 ]}
• Natalie Silvanovich ^{[ 10 ]}
• James Forshaw ^{[ 11 ]}

• Uno de los primeros informes del Proyecto Zero que atrajo la atención involucraba una vulnerabilidad que permitía a los hackers tomar el control del software que ejecutaba el navegador Safari . ^{[ 18 ]} Por sus esfuerzos, el equipo, específicamente Beer, fue citado en la breve nota de agradecimiento de Apple.
• El 30 de septiembre de 2014, Google detectó una vulnerabilidad de seguridad en la llamada al sistema "NtApphelpCacheControl" de Windows 8.1 , que permite a un usuario normal obtener acceso administrativo. ^{[ 19 ]} Microsoft fue notificado del problema de inmediato, pero no lo solucionó en 90 días, lo que significó que la información sobre el error se hizo pública el 29 de diciembre de 2014. ^{[ 7 ]} La divulgación pública del error provocó una respuesta de Microsoft indicando que estaban trabajando en el problema. ^{[ 7 ]}
• El 9 de marzo de 2015, el blog de Google Project Zero publicó un artículo invitado que revelaba cómo se podía explotar una vulnerabilidad de hardware previamente conocida en la memoria DRAM de uso común, denominada Row Hammer, para elevar los privilegios de los usuarios locales. ^{[ 20 ]} Este artículo generó una gran cantidad de investigaciones posteriores tanto en la comunidad académica como en la de hardware.
• El 19 de febrero de 2017, Google descubrió una vulnerabilidad en los proxies inversos de Cloudflare , ^{[ 21 ]} que provocaba que sus servidores perimetrales sobrepasaran el límite de un búfer y devolvieran memoria que contenía información privada, como cookies HTTP, tokens de autenticación, cuerpos de solicitudes HTTP POST y otros datos confidenciales. Algunos de estos datos fueron almacenados en caché por los motores de búsqueda. ^{[ 22 ]} Un miembro del equipo de Project Zero se refirió a esta vulnerabilidad como Cloudbleed . ^{[ 21 ]}
• El 27 de marzo de 2017, Tavis Ormandy de Project Zero descubrió una vulnerabilidad en el popular gestor de contraseñas LastPass . ^{[ 23 ]} El 31 de marzo de 2017, LastPass anunció que había solucionado el problema. ^{[ 24 ]}
• El Proyecto Zero participó en el descubrimiento de las vulnerabilidades Meltdown y Spectre que afectaban a muchas CPU modernas , descubiertas a mediados de 2017 y divulgadas a principios de enero de 2018. ^{[ 25 ]} El problema fue descubierto por Jann Horn de forma independiente de los demás investigadores que informaron sobre la falla de seguridad y estaba previsto que se publicara el 9 de enero de 2018 antes de adelantar la fecha debido a la creciente especulación. ^{[ 9 ]}
• El 1 de febrero de 2019, Project Zero informó a Apple que había detectado un conjunto de cinco cadenas de exploits completas y separadas para iPhone que afectaban a iOS 10 hasta todas las versiones de iOS 12, sin dirigirse a usuarios específicos, pero con la capacidad de infectar a cualquier usuario que visitara un sitio infectado. Una serie de sitios pirateados se estaban utilizando en ataques de tipo watering hole indiscriminados contra sus visitantes, que Project Zero estimó que recibían miles de visitas por semana. Project Zero consideró que los ataques indicaban que un grupo estaba realizando un esfuerzo sostenido para piratear a los usuarios de iPhone en ciertas comunidades durante un período de al menos dos años. ^{[ 26 ]} Apple corrigió los exploits en el lanzamiento de iOS 12.1.4 el 7 de febrero de 2019, ^{[ 27 ]} y dijo que las correcciones ya estaban en marcha cuando Project Zero informó. ^{[ 28 ]}
• El 18 de abril de 2019, Project Zero descubrió un error en iMessage de Apple en el que un mensaje mal formado podía provocar que Springboard se bloqueara y reiniciara repetidamente, impidiendo que se mostrara la interfaz de usuario y dejando el teléfono de responder a las entradas. ^{[ 29 ]} Esto bloqueaba por completo la interfaz de usuario del iPhone , dejándola inoperable. Este error persistía incluso después de un reinicio forzado . El fallo también afectaba a iMessage en Mac con resultados diferentes. Apple corrigió el error dentro del plazo de 90 días antes de que Project Zero lo publicara.
• En diciembre de 2021, el equipo publicó un análisis técnico de la vulnerabilidad FORCEDENTRY basado en su colaboración con el grupo de Ingeniería y Arquitectura de Seguridad (SEAR) de Apple. ^{[ 30 ]}

• Defensa cibernética proactiva

• Sitio web oficial