Definition Project Zero Was ist Project Zero?

Anbieter zum Thema

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Das Project Zero wurde 2014 von Google ins Leben gerufen. Es besteht aus einem Team von Sicherheitsexperten, die nach Zero-Day-Schwachstellen in Hard- und Software suchen. Das Team beschäftigt sich sowohl mit Google-Produkten als auch mit Produkten anderer Hersteller.

Beim Project Zero handelt es sich um ein Team aus Sicherheitsexperten, das im Auftrag von Google nach Zero-Day-Schwachstellen in Hard- und Softwareprodukten sucht. Für das Projekt ist es unerheblich, ob die Produkte von Google selbst oder von anderen Herstellern stammen.

Google gründete das Project Zero im Jahr 2014 mit dem Ziel, die Sicherheit des Internets und digitaler Produkte oder Anwendungen für jedermann zu verbessern. Böswilligen Akteure soll es erschwert werden, selbst Zero-Day-Schwachstellen zu finden und diese auszunutzen. Im Fokus des Arbeit des Project Zero stehen vor allem populäre und häufig genutzte Produkte. Beispiele hierfür sind Webbrowser, Betriebssysteme für Smartphones oder Computer, Webanwendungen oder häufig eingesetzte Open-Source-Bibliotheken.

Gefundene Schwachstellen werden an den Hersteller gemeldet. Dieser hat anschließend eine definierte Anzahl an Tagen (in der Regel 90 Tage) Zeit, die Schwachstelle zu schließen, bevor Google die Details öffentlich macht. Die genaue Anzahl an Sicherheitsexperten, die für das Project Zero arbeiten ist nicht bekannt. Ihr beruflicher Hintergrund ist teils sehr unterschiedlich. Sie haben beispielsweise im Bereich der Produktsicherheit oder als Sicherheitsberater für andere Unternehmen oder für staatliche Institutionen gearbeitet oder stammen aus dem universitären beziehungsweise schulischen Bereich. Aus Google-internen Abteilungen wurden ebenfalls Sicherheitsexperten für das Project Zero rekrutiert. Nach eigenen Aussagen arbeiten auch einige der weltbesten Hacker für das Projekt.

Die Aufgabe des Teams ist es nicht nur, Zero-Day-Schwachstellen zu finden, sondern auch zu analysieren und öffentlich zu dokumentieren, wie die Schwachstellen in der Praxis ausgenutzt werden könnten. Das Google-Team arbeitet transparent und dokumentiert den kompletten Prozess der Offenlegung und Behebung der Sicherheitslücken. Es betreibt einen umfangreichen Blog, indem erkannte Schwachstellen und ihre Ausnutzung ausführlich beschrieben werden. Seit der Gründung hat das Project Zero eine große Anzahl teils sehr weitreichender und kritischer Schwachstellen gefunden und durch Information der Hersteller für deren Schließung gesorgt.

Was ist eine Zero-Day-Schwachstelle?

Das Google Project Zero beschäftigt sich mit dem Aufspüren und Analysieren sogenannter Zero-Day-Schwachstellen. Eine Zero-Day-Schwachstelle ist eine bisher unentdeckter Sicherheitslücke in einem Soft- oder Hardware-Produkt, die selbst der Hersteller noch nicht kennt. Findet ein Angreifer eine solche Lücke, hat der Hersteller quasi null Tage Zeit, diese zu schließen, um einen Angriff zu verhindern. Ausgenutzt werden Zero-Day-Schwachstellen mithilfe sogenannter Zero-Day-Exploits. Zero-Day-Schwachstellen und passende Zero-Day-Exploits sind in cyberkriminellen Kreisen sehr begehrt, da Angriffe aufgrund fehlender Patches große Erfolgsaussichten haben und sie über längere Zeiträume unentdeckt bleiben können. Auch Geheimdienste oder andere staatliche Institutionen nutzen sehr gerne Zero-Day-Schwachstellen für ihre Zwecke. Es gibt daher einen Markt für Zero-Day-Schwachstellen und -Exploits, auf dem große Summen für diese geboten werden.

Ziele und Grundsätze des Project Zero

Allgemeines Ziel des Project Zero ist es, das Internet sicherer zu machen und die Cybersicherheit für jedermann zu verbessern. Das Team beschränkt sich nicht auf bestimmte Produkte oder Hersteller. Im Fokus stehen besonders die populären und von vielen Menschen genutzten Hard- und Softwareprodukte. Das Team verfolgt einen transparenten Ansatz. Gefundene Zero-Day-Schwachstellen werden unter Einhaltung strikter Offenlegungsregeln zunächst nur dem Hersteller gemeldet. Den Herstellern wird eine angemessene Zeit (in der Regel 90 Tage) eingeräumt, die Schwachstelle zu schließen, bevor sie öffentlich gemacht wird. Abläufe und Details der Schwachstellen werden öffentlich dokumentiert. Indem danach geforscht wird, wie gefundene Schwachstellen für Angriffe missbraucht werden könnten und diese Untersuchungen öffentlich gemacht werden, sollen die Hersteller dazu ermutigt werden, sichere Programmier- und Designpraktiken für ihre Produkte anzuwenden.

Vorgehensweise bei entdeckten Schwachstellen

Ursprünglich räumte das Project Zero dem Hersteller nach der Information über eine Schwachstelle eine Frist von 90 Tagen ein, einen Patch oder ein andere Art der Behebung bereitzustellen. Mit der Bereitstellung eines Patches oder nach Ablauf der 90 Tage informierte das Projekt die Öffentlichkeit.

Mittlerweile hat Google sein Vorgehen etwas verändert. Stellt ein Hersteller ein Patch für eine Schwachstelle bereit, wartet das Google-Team 30 weitere Tage, bis es mit der Zero-Day-Schwachstelle an die Öffentlichkeit geht. Das soll den Usern mehr Zeit geben, den Patch zu installieren. Es können daher von der Information des Herstellers bis zur Information der Öffentlichkeit bis zu 120 Tage vergehen. Wird kein Patch bereitgestellt, informiert Google weiterhin nach 90 Tagen die Öffentlichkeit. Die Hersteller haben zusätzlich die Möglichkeit, eine Verlängerung von 14 Tagen für das Erstellen einer Lösung zu beantragen. Bei akuten Gefahren und bereits für Angriffe aktiv ausgenutzten Sicherheitslücken können kürzere Fristen greifen (zum Beispiel sieben Tage plus drei Tage Verlängerung).

Beispiele einiger vom Project Zero gefundener Schwachstellen

Seit der Gründung hat das Project Zero zahlreiche Zero-Day-Schwachstellen gefunden oder an deren Identifizierung mitgewirkt. 2019 waren es bereits über 1.600 Schwachstellen. Im Folgenden eine kurze Liste einiger vom Project Zero gefundener Zero-Day-Schwachstellen:

• 2014: im Safari-Browser und im Windows-Betriebssystem 8.1

• 2017/2018: im Reverse-Proxy von Cloudflare und Beteiligung an der Entdeckung der Sicherheitslücken Meltdown und Spectre in Prozessoren mehrerer Hersteller

• 2019: Schwachstelle in Apple iMessage und fünf verschiedene iPhone-Exploit-Chains in den Betriebssystemen iOS 10 bis iOS 12

• 2020: Sicherheitslücke bei GitHub (Onlinedienst für Softwareentwicklung und Versionsverwaltung)

• 2021: mehrere Sicherheitslücken im Videokonferenz-Tool Zoom

• 2023: mehrere kritische Zero-Day-Lücken in Samsung-Modemchips (Exynos-Chips) für Smartphones

(ID:49945618)