ช่องโหว่ซีโร่เดย์

ซีโร่เดย์ ( zero-day หรือ 0-day) หรือ วันศูนย์ คือช่องโหว่ในซอฟต์แวร์หรือฮาร์ดแวร์ที่โดยทั่วไปผู้ผลิตยังไม่ทราบ
และยังไม่มีแพตช์หรือการแก้ไขใดๆ
อธิบายว่า ผู้ผลิตจะมีเวลาศูนย์วันในการเตรียมแพตช์เพราะช่องโหว่ได้เปิดเผยหรือถูกใช้ประโยชน์ไปแล้ว 
แม้นักพัฒนาจะมีเป้าหมายมอบส่งผลิตภัณฑ์ที่ทำงานได้ตามที่ออกแบบไว้ แต่ซอฟต์แวร์และฮาร์ดแวร์เกือบทั้งหมดก็จะมีข้อบกพร่อง
ข้อบกพร่องหลายอย่างลดทอนความปลอดภัยของระบบจึงจัดเป็นช่องโหว่ 
แม้จะเป็นเหตุของการโจมตีทางไซเบอร์เป็นเพียงส่วนน้อย แต่ช่องโหว่วันศูนย์ก็ถือว่าอันตรายกว่าช่องโหว่ที่รู้จักแล้วเพราะมีมาตรการป้องกันน้อยกว่า
ผู้ใช้ช่องโหว่วันศูนย์หลักๆ ก็คือหน่วยงานของรัฐ ไม่เพียงเพราะต้นทุนที่สูงในการค้นหาหรือซื้อช่องโหว่เหล่านี้ แต่ยังรวมถึงค่าใช้จ่ายมากในการเขียนซอฟต์แวร์เพื่อโจมตี
แฮ็กเกอร์หรือนักวิจัยด้านความปลอดภัยเป็นผู้ค้นพบช่องโหว่หลายอย่าง ซึ่งอาจจะเปิดเผยให้แก่ผู้ผลิตโดยมักแลกกับเงินรางวัล หรือขายให้แก่รัฐหรือกลุ่มอาชญากร 
การใช้ช่องโหว่วันศูนย์ได้เพิ่มขึ้นหลังจากที่บริษัทซอฟต์แวร์ยอดนิยมหลายแห่งเริ่มเข้ารหัสข้อความและข้อมูล
ซึ่งหมายความว่าจะได้ข้อมูลที่ไม่เข้ารหัสก็ต่อเมื่อสามารถแฮ็กเข้าไปในซอฟต์แวร์ก่อนที่จะเข้ารหัส

**คำจำกัดความ == 
แม้นักพัฒนาจะมีเป้าหมายมอบส่งผลิตภัณฑ์ที่ทำงานได้ตามที่ออกแบบไว้ แต่ซอฟต์แวร์และฮาร์ดแวร์เกือบทั้งหมดก็จะมีข้อบกพร่อง p = 1
ข้อบกพร่องหลายอย่างลดทอนความปลอดภัยของระบบจึงจัดเป็นช่องโหว่ 
ผู้ไม่หวังดีจะถือเอาประโยชน์จากช่องโหว่ต่างๆ ได้ไม่เท่ากัน
บางอย่างก็ใช้ไม่ได้เลย บางอย่างอาจใช้รบกวนด้วยการโจมตีแบบปฏิเสธการให้บริการ
ที่มีค่าที่สุดทำให้ผู้โจมตีสามารถแทรกและเรียกใช้โค้ดของตนเองในระบบผู้ใช้ได้โดยที่ผู้ใช้ไม่รู้ตัว p = 2
แม้คำว่า "ซีโร่เดย์" เดิมทีจะหมายถึงเวลาที่ผู้ผลิตเริ่มตระหนักถึงช่องโหว่ แต่ก็นิยามได้ด้วยว่า เป็นช่องโหว่ที่ยังไม่มีแพตช์หรือการแก้ไขใดๆ pp = iii, 2 p = 7
เอ็กซ์พลอยต์ซีโร่เดย์ (zero-day exploit) เป็นการใช้ประโยชน์จากช่องโหว่ดังกล่าว p = 2

**การถือเอาประโยชน์**
การถือเอาประโยชน์/การแสวงหาประโยชน์/การใช้ประโยชน์/เอ็กซ์พลอยต์ (exploit) คือกลไกการส่งซอฟต์แวร์/มัลแวร์ที่ใช้ประโยชน์จากช่องโหว่เพื่อเจาะเข้าสู่ระบบเป้าหมายเพื่อวัตถุประสงค์เช่น การขัดการทำงาน การติดตั้งมัลแวร์ และการขโมยข้อมูล p = 23
นักวิชาการระบุว่า "มีข้อมูลน้อยมากเกี่ยวกับขอบเขต การใช้งาน ประโยชน์ และอันตรายที่แท้จริงของเอ็กซ์พลอยต์ซีโร่เดย์" p = 3
การใช้ประโยชน์เช่นนี้ถือว่าอันตรายมากกว่าการใช้ประโยชน์จากช่องโหว่ที่รู้จัก p = 24
แต่การโจมตีทางไซเบอร์ส่วนใหญ่ก็น่าจะใช้ช่องโหว่ที่รู้จัก ไม่ใช่ช่องโหว่วันศูนย์ p = 3
ผู้ใช้ช่องโหว่วันศูนย์หลักๆ ก็คือหน่วยงานของรัฐ ไม่เพียงเพราะต้นทุนที่สูงในการค้นหาหรือซื้อช่องโหว่เหล่านี้ แต่ยังรวมถึงค่าใช้จ่ายสูงในการเขียนซอฟต์แวร์โจมตี
อย่างไรก็ตาม ใครๆ ก็สามารถใช้ช่องโหว่ได้ p = 1
และตามการวิจัยของสถาบันนโยบายอเมริกัน RAND Corporation 
"ผู้โจมตีที่เอาจริงสามารถหาช่องโหว่วันศูนย์มีราคาพอจ่ายได้สำหรับเป้าหมายเกือบทุกอย่างได้เสมอ" p = xiv
และกลุ่มภัยคุกคามต่อเนื่องขั้นสูง (advanced persistent threat) ส่วนใหญ่จะพึ่งพาช่องโหว่วันศูนย์ p = 4
เวลาเฉลี่ยในการพัฒนาเอ็กซ์พลอยต์ซีโร่เดย์อยู่ที่ประมาณ 22วัน p = xiii
การพัฒนานั้นยากเพิ่มขึ้นเรื่อยๆ เพราะซอฟต์แวร์ยอดนิยมพยายามป้องกันตัวเองเพิ่มขึ้น p = 142

**ช่วงการมีช่องโหว่**
Vulnerability introduced = เกิดมีช่องโหว่,
Exploit released in the wild = เกิดการใช้ประโยชน์,
Vulnerability discovered by the vendor = ผู้ผลิตพบช่องโหว่,
Vulnerability disclosed publicly = มีการเปิดเผยช่องโหว่,
Anti-virus signatures released = มีลายเซ็นตรวจจับสำหรับโปรแกรมป้องกันไวรัส,
Patch released = แจกจำหน่ายแพตช์,
Patch deployment completed = แพตช์เสร็จหมดแล้ว,
Zero-day attack = การโจมตีซีโร่เดย์,
Follow-on attack = การโจมตีหลังซีโร่เดย์แต่ก่อนแพตช์,
Window of exposure = ช่วงการมีช่องโหว่
ช่องโหว่วันศูนย์มักจัดว่า "มีชีวิต" คือ ยังไม่มีการเปิดเผย และ "ตายแล้ว" คือ มีการเปิดเผยแล้วแต่ยังไม่ได้แพตช์ 
หากผู้ดูแลซอฟต์แวร์ยังต้องสืบหาช่องโหว่อย่างเป็นกิจลักษณะ นั่นคือช่องโหว่ที่มีชีวิต ส่วนช่องโหว่ในซอฟต์แวร์ที่ไม่มีการดูแลจัดว่าเป็นอมตะ
ช่องโหว่ซอมบี้คือช่องโหว่ที่ถือเอาประโยชน์ได้ในซอฟต์แวร์เวอร์ชันเก่า แต่ได้แพตช์แล้วในเวอร์ชันใหม่ p = xi
แต่แม้ช่องโหว่ที่เปิดเผยแล้วและช่องโหว่ซอมบี้ก็ยังถือเอาประโยชน์ได้เป็นระยะเวลานานๆ p = 8
แพตช์ความปลอดภัยอาจใช้เวลาพัฒนาหลายเดือน p = 26
หรืออาจไม่ทำเลย p = 42
แพตช์อาจมีผลลบต่อการทำงานของซอฟต์แวร์ p = 42
และผู้ใช้อาจต้องทดสอบแพตช์เพื่อยืนยันการทำงานและความเข้ากันได้ p = 50
องค์กรขนาดใหญ่อาจไม่สามารถระบุและแพตช์ซอฟต์แวร์ที่ต้องพึ่งพิงทั้งหมด ในขณะที่องค์กรขนาดเล็กและผู้ใช้ส่วนบุคคลอาจไม่ติดตั้งแพตช์เลย p = 42
งานวิจัยชี้ว่าความเสี่ยงของการโจมตีทางไซเบอร์จะเพิ่มขึ้นหากได้เปิดเผยช่องโหว่หรือมีการปล่อยแพตช์ pp = 49-50
อาชญากรไซเบอร์สามารถทำวิศวกรรมย้อนรอยกับแพตช์เพื่อหาช่องโหว่ที่เป็นเหตุและพัฒนาการถือเอาประโยชน์  p = 28
โดยมักจะทำได้เร็วกว่าที่ผู้ใช้จะติดตั้งแพตช์ pp = 49-50
ตามการวิจัยของ RAND Corporation ปี2017 เอ็กซ์พลอยต์ซีโร่เดย์ใช้ได้นานโดยเฉลี่ย 6.9ปี p = x
แต่เมื่อซื้อจากบุคคลที่สาม ก็จะใช้ได้โดยเฉลี่ยเพียง 1.4ปี p = xiii
ไม่สามารถสัมพันธ์แพลตฟอร์มหรือชนิดซอฟต์แวร์ (เช่น ซอฟต์แวร์โอเพนซอร์ส) กับอายุขัยของช่องโหว่วันศูนย์ pp = xi-xii
พบว่า สำหรับคลังช่องโหว่วันศูนย์ที่เก็บไว้อย่างลับๆ คนอื่นๆ จะค้นพบช่องโหว่เดียวกัน 5.7% ในหนึ่งปี
แต่งานศึกษาอีกชิ้นหนึ่งพบอัตราการค้นพบทับซ้อนที่สูงกว่านั้นคือ  


**มาตรการตอบโต้ == 
เนื่องจากตามนิยาม ยังไม่มีแพตช์ที่สามารถป้องกันการโจมตีแบบซีโร่เดย์ได้ ระบบทั้งหมดที่ใช้ซอฟต์แวร์หรือฮาร์ดแวร์ที่มีช่องโหว่จึงมีความเสี่ยง
ซึ่งรวมถึงระบบที่ต้องทำการอย่างปลอดภัย เช่น ระบบธนาคารและรัฐบาล รวมทั้งที่มีอัปเดตล่าสุด p = 8
โปรแกรมป้องกันไวรัสมักไม่สามารถป้องกันมัลแวร์ที่แทรกเข้ามาโดยเอ็กซ์พลอยต์ซีโร่เดย์ p = 125
ระบบความปลอดภัยออกแบบมาสำหรับช่องโหว่ที่รู้จัก ดังนั้น มัลแวร์ที่แทรกเข้าในระบบโดยการใช้ประโยชน์วันศูนย์ อาจยังคงดำเนินการได้โดยไม่ถูกตรวจจับเป็นระยะเวลานาน p = 42
แม้จะมีระบบที่เสนอหลายระบบซึ่งสามารถตรวจจับการใช้ประโยชน์วันศูนย์ 
แต่ก็ยังคงเป็นแค่ประเด็นงานวิจัยที่ยังทำอยู่ในปี 2023 p = 10733
องค์กรหลายแห่งได้เริ่มใช้กลยุทธ์ป้องกันเชิงลึก (defense-in-depth) เพื่อให้ต้องโจมตีฝ่าระบบความปลอดภัยหลายระดับซึ่งทำได้ยากขึ้น p = 24
มาตรการรักษาความปลอดภัยที่มีอยู่แล้ว (เช่น การฝึกอบรมพนักงาน) และการควบคุมการเข้าถึง (เช่น การพิสูจน์ตัวตนด้วยปัจจัยหลายอย่าง การเข้าถึงแบบมีสิทธิ์น้อยที่สุด และการแยกระบบออกจากเครือข่าย) ก็จะทำให้โจมตีด้วยซีโร่เดย์ได้ยากขึ้น p = 104
เนื่องจากการเขียนซอฟต์แวร์ที่ปลอดภัยโดยสิ้นเชิงเป็นไปไม่ได้ 
นักวิจัยบางท่านจึงโต้แย้งว่าการบีบเพิ่มต้นทุนของเอ็กซ์พลอยต์
เป็นกลยุทธ์ลดภาระการโจมตีทางไซเบอร์ที่ดี p = 41


**ตลาด**
ไฟล์:Comparing the average prices of different kinds of exploits, from 2015 until present.png|thumb| upright = 1.2|
ราคาเฉลี่ยของเอ็กซ์พลอยต์ช่องโหว่ชนิดต่างๆ ปี 20152022 เป็นดอลลาร์สหรัฐ
ชุดเอ็กซ์พลอยต์ซีโร่เดย์อาจมีค่าเป็นล้านๆ ดอลลาร์สหรัฐ
มีผู้ซื้อหลักๆ สามประเภท p = 44- ฝ่ายขาว คือ ผู้ผลิต หรือบุคคลที่สามเช่นโครงการ Zero Day Initiative ผู้เปิดเผยซีโร่เดย์ต่อผู้ผลิตโดยมักจะเป็นการเปิดเผยเพื่อแลกกับรางวัลค้นพบข้อบกพร่อง p = 33 p = 45 แต่ไม่ใช่ทุกบริษัทจะยินดียอมรับการเปิดเผย เพราะมันอาจก่อความรับผิดชอบทางกฎหมายและภาระในการดำเนินงาน ผู้เปิดเผยจึงอาจได้รับจดหมายให้หยุดทำการจากผู้ผลิตซอฟต์แวร์หลังจากเปิดเผยช่องโหว่แม้ไม่คิดค่าใช้จ่าย p = 36- ฝ่ายเทา เป็นตลาดใหญ่สุด p = 1 และทำกำไรได้มากสุด หน่วยงานรัฐบาลหรือหน่วยข่าวกรองเป็นผู้ซื้อช่องโหว่วันศูนย์ อาจนำไปใช้ในการโจมตี หรือเก็บสะสมไว้ หรือแจ้งให้ผู้ผลิตทราบ p = 44 รัฐบาลกลางสหรัฐอเมริกาเป็นผู้ซื้อรายใหญ่ที่สุดรายหนึ่ง p = 1 จนถึงปี2013 ประเทศไฟฟ์อายส์ คือ สหรัฐอเมริกา สหราชอาณาจักร แคนาดา ออสเตรเลีย และนิวซีแลนด์ เป็นผู้ซื้อมากที่สุด ผู้ซื้อรายสำคัญอื่นๆ รวมถึงรัสเซีย อินเดีย บราซิล มาเลเซีย สิงคโปร์ เกาหลีเหนือ และอิหร่าน ประเทศในตะวันออกกลางมีแนวโน้มที่จะกลายเป็นผู้ใช้จ่ายรายใหญ่ที่สุด p = 145 - ฝ่ายดำ คือ กลุ่มอาชญากร ซึ่งโดยทั่วไปต้องการซอฟต์แวร์เอ็กซ์พลอต์สำเร็จรูปมากกว่าแค่ความรู้เกี่ยวกับช่องโหว่ pp = 44, 46 ผู้ใช้เหล่านี้มักใช้ประโยชน์แบบ "ครึ่งวัน" ที่มีแพตช์อยู่แล้ว p = 46
ในปี2015 ตลาดสำหรับรัฐบาลและอาชญากรประเมินว่าใหญ่กว่าตลาดขาวอย่างน้อยสิบเท่า p = 44
ผู้ขายมักเป็นกลุ่มแฮ็กเกอร์ที่ค้นหาช่องโหว่ในซอฟต์แวร์ที่นิยมเพื่อผลกำไร p = 116
บางคนจะขายให้แก่ผู้ซื้อบางรายเท่านั้น ในขณะที่บางคนจะขายให้แก่ใครก็ได้  p = 46
ผู้ขายตลาดขาวมีโอกาสได้แรงจูงใจจากรางวัลที่ไม่ใช่เงิน เช่น การได้การยอมรับและความท้าทายทางปัญญา pp = 46-47
การขายชุดเอ็กซ์พลอยต์วันศูนย์นั้นไม่ผิดกฎหมาย p = 45 
แม้จะมีการเรียกร้องให้ควบคุมทางกฎหมายเพิ่มขึ้น แต่นักวิชาการก็ระบุว่า มีโอกาสได้ข้อตกลงระหว่างประเทศน้อยเพราะผู้เล่นหลักๆ เช่น รัสเซียและอิสราเอล ไม่ยอม
ผู้ซื้อขายช่องโหว่วันศูนย์มักจะทำการอย่างลับๆ โดยอาศัยสัญญาไม่เปิดเผยข้อมูล (non-disclosure agreements) และกฎหมายข้อมูลลับเพื่อเก็บความลับของชุดการใช้ประโยชน์
หากช่องโหว่กลายเป็นที่รู้จัก ก็อาจจะแพตช์ได้ แล้วราคาก็จะตกลงอย่างรวดเร็ว p = 42
เนื่องจากตลาดขาดความโปร่งใส การหาราคาที่เป็นธรรมจึงยากสำหรับทุกฝ่าย
ผู้ขายอาจไม่ได้รับค่าตอบแทนถ้ามีการเปิดเผยช่องโหว่ก่อนที่ผู้ซื้อจะได้ตรวจสอบ หรือหากผู้ซื้อปฏิเสธที่จะซื้อแต่กลับเอาไปใช้อยู่ดี 
เพราะมีคนกลางเพิ่มขึ้นเรื่อยๆ ผู้ขายอาจไม่มีวันรู้ว่าชุดการใช้ประโยชน์จากช่องโหว่จะนำไปใช้ในทางใด p = 57
ผู้ซื้อก็ไม่มีประกันว่า ชุดการใช้ประโยชน์จะไม่ขายให้แก่คนอื่นด้วย p = 58
ทั้งผู้ซื้อและผู้ขายต่างโฆษณาบนเว็บมืด p = 117
งานวิจัยปี2022 พบว่า ราคาชุดการใช้ประโยชน์เพิ่มขึ้น 44% ปีต่อปีโดยอิงราคาสูงสุดที่นายหน้ารายหนึ่งอ้าง
ชุดการใช้ประโยชน์จากระยะไกลแบบไม่ต้องคลิก (remote zero-click exploit) ขายได้ในราคาสูงสุด แต่ที่ต้องเข้าถึงอุปกรณ์ถึงจะทำได้จะถูกกว่ามาก pp = 31, 41
ช่องโหว่ในซอฟต์แวร์ที่นิยมก็มีราคาแพงกว่าด้วย p = 48
ประเมินว่ามีผู้ขายชุดการใช้ประโยชน์ราวๆ 400–1,200 คนที่ขายให้แก่นายหน้ารายนั้น แต่ละคนหาเงินได้ประมาณ 5,500–20,800 ดอลลาร์สหรัฐต่อปี (ประมาณ 193,000–729,000 บาท)

**การเปิดเผยและการเก็บสะสม**
ตั้งแต่ปี2017 มีการถกเถียงกันอย่างต่อเนื่องว่า สหรัฐอเมริกาควรเปิดเผยช่องโหว่ที่ตนทราบเพื่อให้สามารถแพตช์ได้ หรือควรเก็บไว้เป็นความลับเพื่อใช้งานเอง p = iii
เหตุผลที่รัฐเก็บช่องโหว่เป็นความลับรวมถึงความต้องการใช้มันในเชิงรุก หรือในเชิงป้องกันเพื่อทดสอบการเจาะระบบ  p = xiv
การเปิดเผยช่องโหว่ช่วยลดความเสี่ยงที่ผู้บริโภคและผู้ใช้ซอฟต์แวร์ทั้งหมดจะตกเป็นเหยื่อของมัลแวร์หรือการละเมิดข้อมูล p = 1

**ประวัติ**
ชุดการใช้ประโยชน์วันศูนย์มีความสำคัญมากขึ้นหลังจากบริการต่างๆ เช่น แอปเปิล กูเกิล เฟซบุ๊ก และไมโครซอฟต์ เริ่มเข้ารหัสข้อมูลในเซิร์ฟเวอร์และข้อความที่ส่ง 
ซึ่งหมายความว่าวิธีเดียวในการเข้าถึงข้อมูลของผู้ใช้ได้คือการดักจับข้อมูลที่แหล่งกำเนิดก่อนจะเข้ารหัส p = 8
การใช้ประโยชน์วันศูนย์ที่รู้จักกันดีที่สุดอย่างหนึ่งคือ หนอนคอมพิวเตอร์ Stuxnet ซึ่งใช้ช่องโหว่วันศูนย์ 4ตัวเพื่อก่อความเสียหายแก่โครงการนิวเคลียร์ของอิหร่านในปี 2010 p = 3
หนอนนี้แสดงให้เห็นว่าทำอะไรได้ด้วยการใช้ประโยชน์วันศูนย์ 
จึงทำให้ตลาดขยายตัวยิ่งขึ้น p = 145
สำนักงานความมั่นคงแห่งชาติสหรัฐ (NSA) ได้เพิ่มการค้นหาช่องโหว่แบบซีโร่เดย์
หลังจากที่บริษัทเทคโนโลยียักษ์ใหญ่ปฏิเสธการติดตั้งประตูหลังลงในซอฟต์แวร์ของตนๆ 
โดยมอบหมายให้หน่วย Tailored Access Operations (TAO) ค้นหาและซื้อชุดการใช้ประโยชน์วันศูนย์ p = 9
ในปี2007 อดีตเจ้าหน้าที่ของสำนักงานเปิดเผยต่อสาธารณชนเป็นครั้งแรกว่า รัฐบาลสหรัฐจัดซื้อชุดการใช้ประโยชน์วันศูนย์ pp = 60, 62
ในปี2013 เอ็ดเวิร์ด สโนว์เดน ได้เปิดเผยข้อมูลบางอย่างเกี่ยวการมีส่วนร่วมของสำนักงานกับช่องโหว่วันศูนย์ แต่ก็ยังขาดรายละเอียด p = 9
โดยนักข่าวหนังสือพิมพ์ เดอะนิวยอร์กไทมส์ สรุปว่า 
"อาจเป็นไปได้ว่าสโนว์เดนในฐานะผู้รับเหมาเข้าถึงระบบของรัฐบาลได้ไม่ลึกพอให้ได้ข้อมูลที่ต้องการ
หรือแหล่งข้อมูลและวิธีการของรัฐในการซื้อหาช่องโหว่วันศูนย์นั้น เป็นความลับหรือถูกตำหนิได้มากจนกระทั่งหน่วยงานไม่กล้าระบุไว้เป็นลายลักษณ์อักษร" p = 10

**เชิงอรรถและอ้างอิง**

**แหล่งอ้างอิงอื่นๆ**
 url = https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf- language = en-  issn = 2474-2120- language = en- language = en- language = en- language = en- language = en
หมวดหมู่:Warez
หมวดหมู่:วัฒนธรรมคอมพิวเตอร์
หมวดหมู่:Types of malware
หมวดหมู่:Malware by type
หมวดหมู่:ไวรัสคอมพิวเตอร์
หมวดหมู่:ความมั่นคงของระบบคอมพิวเตอร์