مشروع صفر

📅 آخر تحديث: ٢٥ يوليو ٢٠٢٦
✍️ نُشر في: ٢٥ يوليو ٢٠٢٦
📷 يحتوي على 6 صور
الموسوعة الحرة

مشروع صفر هو فريق من محللي الأمن الذين توظفهم جوجل ومكلفون بالعثور على الثغرات الأمنية التي لا يمكن اكتشافها . [1] تم الإعلان عنه في 15 يوليو 2014. [2]

تاريخ

بعد العثور على عدد من العيوب في البرامج التي يستخدمها العديد من المستخدمين النهائيين أثناء البحث عن مشاكل أخرى، مثل ثغرة " Heartbleed " الحرجة، قررت Google تشكيل فريق بدوام كامل مخصص للعثور على مثل هذه الثغرات، ليس فقط في برامج Google ولكن أي برنامج يستخدمه مستخدموها. تم الإعلان عن المشروع الجديد في 15 يوليو 2014 على مدونة أمان Google. [2] عند إطلاقه، كان أحد الابتكارات الرئيسية التي قدمها Project Zero هو الموعد النهائي الصارم للإفصاح لمدة 90 يومًا إلى جانب متعقب الأخطاء المرئي للجمهور حيث يتم توثيق عملية الإفصاح عن الثغرات الأمنية. [3]

في حين يمكن إرجاع فكرة مشروع Zero إلى عام 2010، فإن إنشائه يتناسب مع الاتجاه الأكبر لمبادرات مكافحة المراقبة من Google في أعقاب عمليات الكشف عن المراقبة العالمية في عام 2013 من قبل إدوارد سنودن . كان الفريق يرأسه سابقًا كريس إيفانز، رئيس فريق أمان Chrome في Google سابقًا ، والذي انضم لاحقًا إلى شركة Tesla Motors . [4] ومن بين الأعضاء البارزين الآخرين الباحثين الأمنيين بن هوكس وإيان بير وتافيس أورماندي . [5] أصبح هوكس في النهاية مدير الفريق ثم استقال في 4 مايو 2022.

لا يركز الفريق فقط على اكتشاف الأخطاء والهجمات الجديدة، بل يركز أيضًا على البحث والتوثيق العلني لكيفية استغلال مثل هذه العيوب في الممارسة العملية. ويتم ذلك لضمان أن يكون لدى المدافعين فهم كافٍ للهجمات؛ ويحتفظ الفريق بمدونة بحثية موسعة تحتوي على مقالات تصف الهجمات الفردية بالتفصيل. [6]

العثور على الأخطاء والإبلاغ عنها

يتم الإبلاغ عن الأخطاء التي يكتشفها فريق Project Zero إلى الشركة المصنعة ولا يتم نشرها للجمهور إلا بعد إصدار التصحيح [2] أو إذا مرت 90 يومًا دون إصدار التصحيح. [7] الموعد النهائي المحدد بـ 90 يومًا هو طريقة Google لتنفيذ الإفصاح المسؤول ، مما يمنح شركات البرمجيات 90 يومًا لإصلاح المشكلة قبل إبلاغ الجمهور حتى يتمكن المستخدمون أنفسهم من اتخاذ الخطوات اللازمة لتجنب الهجمات. [7] كانت هناك حالات لم ينتج فيها البائع أي حل للعيوب المكتشفة في غضون 90 يومًا، قبل الإفصاح العام من قبل الفريق، مما يزيد من المخاطر على المستخدمين المعرضين للخطر بالفعل. [8]

الأعضاء البارزين

  • إيان بير [5]
  • جان هورن [9]
  • ناتالي سيلفانوفيتش [10]
  • جيمس فورشو [11]

الأعضاء السابقين

  • بن هوكس [5]
  • تافيس أورماندي [5]
  • جال بنياميني [12]
  • توماس دولين [13]
  • كريس إيفانز [5]
  • جورج هوتز [5]
  • مات تايت [14]
  • ستيفن فيتيتو [11]
  • نيد ويليامسون [15]
  • فيليكس فيلهلم [16]
  • ماددي ستون [17]

اكتشافات بارزة

  • كان أحد أول تقارير Project Zero التي جذبت الانتباه يتعلق بخلل سمح للمتسللين بالسيطرة على البرنامج الذي يعمل على تشغيل متصفح Safari . [18] ونظرًا لجهوده، تم الاستشهاد بالفريق، وخاصة Beer، في مذكرة الشكر القصيرة من Apple.
  • في 30 سبتمبر 2014، اكتشفت جوجل ثغرة أمنية في نداء نظام "NtApphelpCacheControl" في نظام التشغيل Windows 8.1 ، والذي يسمح للمستخدم العادي بالحصول على حق الوصول الإداري. [19] تم إخطار مايكروسوفت بالمشكلة على الفور ولكنها لم تصلح المشكلة في غضون 90 يومًا، مما يعني أن المعلومات حول الخطأ أصبحت متاحة للجمهور في 29 ديسمبر 2014. [7] أثار إصدار الخطأ للجمهور استجابة من مايكروسوفت بأنهم يعملون على حل المشكلة. [7]
  • في 9 مارس 2015، نشرت مدونة Google Project Zero منشورًا للضيوف كشف كيف يمكن استغلال خلل معروف سابقًا في أجهزة DRAM المنتشرة بشكل شائع يسمى Row Hammer لتصعيد الامتيازات للمستخدمين المحليين. [20] أدى هذا المنشور إلى ظهور كمية كبيرة من الأبحاث المتابعة في كل من المجتمع الأكاديمي ومجتمع الأجهزة.
  • في 19 فبراير 2017، اكتشفت جوجل خللًا في وكلاء Cloudflare العكسيين، [21] مما تسبب في تشغيل خوادم الحافة الخاصة بهم بعد نهاية المخزن المؤقت وذاكرة الإرجاع التي تحتوي على معلومات خاصة مثل ملفات تعريف الارتباط HTTP ورموز المصادقة وهيئات HTTP POST وغيرها من البيانات الحساسة. تم تخزين بعض هذه البيانات مؤقتًا بواسطة محركات البحث. [22] أشار أحد أعضاء فريق Project Zero إلى هذا الخلل باسم Cloudbleed . [21]
  • في 27 مارس 2017، اكتشف تافيس أورماندي من Project Zero ثغرة أمنية في مدير كلمات المرور الشهير LastPass . [23] في 31 مارس 2017، أعلنت LastPass أنها أصلحت المشكلة. [24]
  • شارك مشروع Zero في اكتشاف ثغرات Meltdown و Spectre التي تؤثر على العديد من وحدات المعالجة المركزية الحديثة ، والتي تم اكتشافها في منتصف عام 2017 وتم الكشف عنها في أوائل يناير 2018. [25] تم اكتشاف المشكلة بواسطة Jann Horn بشكل مستقل عن الباحثين الآخرين الذين أبلغوا عن الخلل الأمني ​​وكان من المقرر نشرها في 9 يناير 2018 قبل تقديم التاريخ بسبب التكهنات المتزايدة. [9]
  • في 1 فبراير 2019، أبلغ Project Zero شركة Apple أنهم اكتشفوا مجموعة من خمس سلاسل استغلال منفصلة وكاملة لأجهزة iPhone تؤثر على نظام التشغيل iOS 10 من خلال جميع إصدارات iOS 12 ولا تستهدف مستخدمين محددين ولكنها تمتلك القدرة على إصابة أي مستخدم زار موقعًا مصابًا. تم استخدام سلسلة من المواقع المخترقة في هجمات عشوائية على زوارها والتي قدر Project Zero أنها تتلقى آلاف الزوار أسبوعيًا. شعر Project Zero أن الهجمات تشير إلى مجموعة تبذل جهدًا مستمرًا لاختراق مستخدمي أجهزة iPhone في مجتمعات معينة على مدى عامين على الأقل. [26] قامت Apple بإصلاح الثغرات في إصدار iOS 12.1.4 في 7 فبراير 2019، [27] وقالت إن الإصلاحات كانت جارية بالفعل عندما أبلغ عنها Project Zero. [28]
  • في 18 أبريل 2019، اكتشف Project Zero خللًا في Apple iMessage حيث يمكن أن تتسبب رسالة مشوهة معينة في "تعطل Springboard وإعادة ظهوره بشكل متكرر، مما يتسبب في عدم عرض واجهة المستخدم وتوقف الهاتف عن الاستجابة للإدخال." [29] سيؤدي هذا إلى تعطل واجهة مستخدم iPhone تمامًا مما يجعله غير قابل للتشغيل. سيستمر هذا الخلل حتى بعد إعادة الضبط الثابت . أثر الخلل أيضًا على iMessage على Mac بنتائج مختلفة. أصلحت Apple الخلل في غضون فترة 90 يومًا قبل إصدار Project Zero له.
  • في ديسمبر 2021، نشر الفريق تفصيلاً فنيًا لاستغلال FORCEDENTRY استنادًا إلى تعاونه مع مجموعة هندسة الأمن والهندسة المعمارية (SEAR) التابعة لشركة Apple. [30]

انظر أيضا

مراجع

  1. ^ جرينبيرج، آندي (15 يوليو 2014). "تعرف على "مشروع الصفر"، فريق جوجل السري لقراصنة البحث عن الأخطاء". Wired . ISSN  1059-1028 . تم الاسترجاع في 6 مارس 2019 .
  2. ^ abc Evans, Chris (15 July 2014). "الإعلان عن مشروع Zero". مدونة Google Online Security . تم الاسترجاع في 4 يناير 2015 .
  3. ^ "Project Zero Bug Tracker" . تم الاسترجاع في 11 أبريل 2019 .
  4. ^ "كريس إيفانز على تويتر" . تم الاسترجاع في 22 سبتمبر 2015 .
  5. ^ abcdef Greenberg, Andy (15 July 2014). "تعرف على "Project Zero"، فريق Google السري لقراصنة البحث عن الأخطاء". Wired.com . تم الاسترجاع في 4 يناير 2015 .
  6. ^ "مدونة مشروع البحث الصفري" . تم الاسترجاع في 11 أبريل 2019 .
  7. ^ abcd Dent, Steven (2 يناير 2015). "Google posts Windows 8.1 vulnerability before Microsoft can patch it". Engadget . تم الاسترجاع في 4 يناير 2015 .
  8. ^ Fingas, John (4 مارس 2019). "Google reveals 'high temporary' Mac security fault before the patch". Engadget . تم الاسترجاع في 6 مارس 2019 .
  9. ^ ab Davies, Chris (3 January 2018). "Google reveals CPU security fault Meltdown and Spectre details". SlashGear . تم الاسترجاع في 4 يناير 2018 .
  10. ^ "جوجل تقول إنه من السهل جدًا على المتسللين العثور على ثغرات أمنية جديدة" . تم الاسترجاع في 3 فبراير 2021 .
  11. ^ "aPAColypse now: Exploiting Windows 10 in a Local Network with WPAD/PAC and JScript". 18 ديسمبر 2017. تم الاسترجاع في 18 ديسمبر 2017 .
  12. ^ "Over The Air: Exploiting Broadcom's Wi-Fi Stack (Part 1)". 4 أبريل 2017. تم الاسترجاع في 12 أبريل 2019 .
  13. ^ "Lawfareblog Hard National Security Choices Matt Tait" . تم الاسترجاع في 9 مارس 2017 .
  14. ^ "مشروع صفر: تصميم sockfuzzer، وهو برنامج لمحاكاة نداءات النظام الشبكية لـ XNU". مشروع صفر . 22 أبريل 2021. تم الاسترجاع في 13 نوفمبر 2024 .
  15. ^ "مشروع صفر: هروب EPYC: دراسة حالة لاختراق KVM". مشروع صفر . 29 يونيو 2021. تم الاسترجاع في 13 نوفمبر 2024 .
  16. ^ "ثغرة أمنية في iOS تسمح لمخترقي SolarWinds باختراق هواتف iPhone المحدثة بالكامل". 14 يوليو 2021. تم الاسترجاع في 14 يوليو 2021 .
  17. ^ TIME Cybersecurity: Hacking, the Dark Web and You. Time Inc. Books. 19 January 2018. ISBN 9781547842414.
  18. ^ "الإصدار 118: Windows: رفع الامتيازات في ahcache.sys/NtApphelpCacheControl". 30 سبتمبر 2014. تم الاسترجاع في 4 يناير 2015 .
  19. ^ "استغلال خطأ DRAM rowhammer للحصول على امتيازات kernel". 9 مارس 2015. تم الاسترجاع في 11 أبريل 2019 .
  20. ^ "المشكلة 1139: cloudflare: وكلاء Cloudflare العكسيون يتخلصون من الذاكرة غير المهيئة". 19 فبراير 2017. تم الاسترجاع في 24 فبراير 2017 .
  21. ^ "تقرير عن حادثة تسرب ذاكرة ناجمة عن خطأ في محلل Cloudflare". Cloudflare. 23 فبراير 2017. تم الاسترجاع في 24 فبراير 2017 .
  22. ^ "ثغرة أخرى تنفتح في LastPass قد يستغرق إصلاحها أسابيع". Naked Security . 29 مارس 2017 . تم الاسترجاع في 29 مارس 2017 .
  23. ^ Siegrist, Joe (31 March 2017). "تحديث أمني لامتداد LastPass". مدونة LastPass . مؤرشف من الأصل في 7 أبريل 2018. تم الاسترجاع في 2 مايو 2017 .
  24. ^ جرينبيرج، آندي (3 يناير 2018). "خلل خطير في إنتل يكسر الأمان الأساسي لمعظم أجهزة الكمبيوتر". WIRED . تم الاسترجاع في 4 يناير 2018 .
  25. ^ تيم (29 أغسطس 2019). "مشروع الصفر: بحث متعمق في سلاسل ثغرات نظام التشغيل iOS الموجودة في البرية". مشروع الصفر . تم الاسترجاع في 30 أغسطس 2019 .
  26. ^ كوكس، جوزيف (30 أغسطس 2019). "جوجل تقول إن مواقع الويب الخبيثة كانت تخترق أجهزة آيفون بهدوء لسنوات". فايس . تم الاسترجاع في 30 أغسطس 2019 .
  27. ^ Goodin, Dan (7 سبتمبر 2019). "Apple تتلقى انتقادات بسبب التشكيك في القنبلة الأمنية لنظام iOS التي أسقطتها Google". Ars Technica .
  28. ^ "المشكلة 1826: iMessage: رسالة مشوهة تتسبب في تعطل iPhone". bugs.chromium.org. 18 أبريل 2019. تم الاسترجاع في 9 سبتمبر 2019 .
  29. ^ بير، إيان؛ جروس، صموئيل (15 ديسمبر 2021). "مشروع صفر: الغوص العميق في ثغرة أمنية في iMessage من NSO بدون نقرة واحدة: تنفيذ التعليمات البرمجية عن بعد". مشروع جوجل صفر . تم الاسترجاع في 16 ديسمبر 2021 .
  • الموقع الرسمي
تم الاسترجاع من "https://en.wikipedia.org/w/index.php?title=مشروع_صفر&oldid=1257119118"
Original text
Rate this translation
Your feedback will be used to help improve Google Translate