Unbehobene Sicherheitslücken, genannt Zero-Days, können im Durchschnitt sieben Jahre lang erfolgreich ausgenutzt werden. Die Forscher Lillian Ablon und Timothy Bogart untersuchten über 200 Zero-Days aus dem Zeitraum von 2002 bis 2016 und fanden folgendes heraus.
- Eine Lücke als lebendig (öffentlich unbekannt) oder tot (öffentlich bekannt) zu erklären kann irreführend und zu simpel sein.
- Exploits haben eine durchschnittliche Lebenserwartung von 6,9 Jahren nach erstmaliger Entdeckung; aber etwa 25 Prozent der Exploits werden nicht mehr als anderthalb Jahre überleben, und weitere 25 Prozent überleben mehr als 9,5 Jahre.
- Die Funktionsweise einer Schwachstelle hat keine Auswirkungen darauf, ob sie lange oder kurz unentdeckt bleibt. Die Forscher sehen Forschungsbedarf bei den Fragen, ob Schwachstellen in Linux gegenüber anderen Plattform-Typen eher entdeckt werden, über die Ähnlichkeit von offenem und geschlossenem Quellcode und einer genaueren Untersuchung der verschiedenen Gruppierungen von Exploit-Klassen (z. B. lebendige oder tote).
- In einem Intervall von einem Jahr werden ca. 5,7 Prozent der Zero-Day-Schwachstellen von anderen entdeckt und preisgegeben. Bei Veränderung des Intervalls verschieben sich aber die Werte erheblich, was die Forscher auf den Unterschied zwischen Entdeckern, die für oder gegen das öffentliche Interesse arbeiten, zurückführen. Auf dem Schwarzmarkt werden Exploits eher geheimgehalten.
- Sobald eine ausbeutbare Sicherheitslücke gefunden wurde, ist die Zeit, einen voll funktionsfähigen Exploit zu entwickeln, relativ schnell vorbei, mit einer durchschnittlichen Zeit von 22 Tagen.
Diese Woche wurde durch eine Veröffentlichung von Wikileaks bekannt, dass die CIA eben solche Sicherheitslücken aufkauft, nutzt und nicht zum Schließen meldet.