Wat is een zero day?

Zero day is een beveiligingslek waar nog geen oplossing voor is. Een lek in software, waar de leverancier nog niks van weet. Zero day betekent dag 0 simpel gezegd dat jij de eerste bent die het lek ontdekt. Wat is zero day precies, en wat kan je doen als je het treft? Lees het in deze blog.

Veilig of gebruiksvriendelijk

Software is per definitie lek; lekvrije software bestaat niet. Mensen maken immers fouten. Fouten kunnen er makkelijk insluipen als je niet precies weet wat je doet. Dat maakt software kwetsbaar. Softwareleveranciers hebben altijd met de afweging te maken: het moet zo veilig mogelijk én gebruiksvriendelijk zijn. Als je dus 100% veilige software hebt, kan je er niet mee werken. En dat wil je niet. Dus een leverancier moet telkens kijken hoever hij kan gaan, en het product toch veilig kan houden.

Afwegen

Softwareleveranciers hebben een beperkt budget. Zelfs Apple, het rijkste techbedrijf ter wereld, heeft een beperkt budget om software te maken. Dus ook financiën spelen een rol bij het maken van software, en hebben invloed op de afwegingen die worden gemaakt.

Hackers hebben geen budget. Zij speuren voortdurend alles af, om te zien hoe dingen werken en vooral: hoe kunnen we dingen misbruiken?

Zero day bij Apple

Laatst was er bij Google en Apple een zero day – er was iets met plaatjes. In een plaatje kon je onzichtbaar een tekst stoppen. Door dat plaatje dan naar mensen te sturen, konden de hackers die apparaten overnemen. Wil je daar meer over weten, klik dan hier.

Wat kan je doen als je een lek tegenkomt?

Als je een zero day ontdekt, kan je twee dingen doen:

1. Aankloppen bij de leverancier en zeggen: ik heb een bug gevonden. Veel leveranciers geven een beloning hiervoor (dat heet bug bounty). Hoe groter of catastrofaler de bug, hoe meer geld je ervoor krijgt. Je kan zelfs een miljoen dollar ontvangen.
2. Je kan de bug ook aan een malwareleverancier melden, dan kan je tot 2.500.000 miljoen krijgen. Moet je wel via dark web. Raden we af!

Zero day aanval

Als hackers een zero day ontdekken, kunnen ze daar ook een aanval mee plegen. Door een gevonden lek op een iPhone, kunnen ze zoveel mogelijk iPhones gaan benaderen. Het ligt eraan wat de hacker ontdekt, en op wie het van toepassing is – dus bij wie het meeste valt te halen.

Feest voor hackers

De meeste zero days worden door hackers gevonden. Programmeurs gebruiken programmataal. Hackers zetten die om naar een zogenaamde assembly-code. Die assembly bestaat vooral uit codes. Moesten zij natuurlijk ook eerst leren. In die codes gaan zij actief op zoek naar hoe dingen werken. En daarbij is het zoeken naar iets wat ze kunnen misbruiken. Hebben ze wat gevonden? Feest! Meestal ontstaan zero days door het ontbreken van zorgvuldige controles door de leverancier van software.

Goed nieuws

Zero days zijn niet per definitie negatief. Er zijn namelijk ook goede, of ethische hackers die actief op zoek gaan naar zero days. Hoe meer zero days er worden gevonden, hoe veiliger de boel wordt.

Updaten!

Ben je een gewone gebruiker, dan zal je niet zo snel een zero day ontdekken. Maar je krijgt soms wel een updateverzoek, bijvoorbeeld van je systeembeheerder (op je werk). Thuis krijg je ook een melding van een update. Die update kan het vervolg zijn van een zero day, die is ontdekt en verholpen door de leverancier. Heel goed dus. Wij zeggen dan ook: altijd updaten, zodat jouw pc geen kans maakt om slachtoffer te worden van hackerspraktijken.