Armin Kübelbeck
Vývojáři Ethereum, světové digitální digitální měny od roku tržní kapitalizace, uzavřely vážnou bezpečnostní díru, která umožnit manipulovat prakticky každému, kdo má připojení k internetu přístup jednotlivých uživatelů k veřejně přístupné knize.
Takzvané útoky zatmění fungují tak, že brání kryptoměně uživatel od připojení k čestným kolegům. Útočníci ovládaní kolegové pak nasměrujte cíl manipulovanou verzi blockchainu celá měnová komunita se spoléhá na smíření transakcí a vymáhat smluvní závazky. Útoky Eclipse lze použít trik cíle do platby za zboží nebo služby více než jednou a kooptovat výpočetní výkon cíle k manipulaci s algoritmy které zajišťují zásadní shodu uživatelů. Protože Ethereum podporuje „inteligentní smlouvy“, které automaticky provádějí transakce, když v blockchainu jsou přítomny určité podmínky, zatmění Ethereum útoky lze také použít k tomu, aby zasahovaly do těch, kdo se sami prosazují dohody.
Stejně jako většina kryptoměn používá Ethereum peer-to-peer mechanismus, který kompiluje vstup od jednotlivých uživatelů do autoritativní blockchain. V roce 2015 a znovu v roce 2016 samostatně výzkumné týmy vymýšlely zatmění proti bitcoinu zneužil slabosti P2P. Oba se poměrně těžko stáhli. Útok v roce 2015 vyžadoval botnet nebo malého poskytovatele internetových služeb, který kontroloval tisíce zařízení, zatímco útok 2016 se spoléhal na kontrolu obrovských kousků internetových adres technikou známou jako únos protokolu hraniční brány. Na základě požadavků to bylo pravděpodobné oba útoky mohly být provedeny pouze sofistikovaným a hackeři s dobrými zdroji.
Pozor skripty kiddies
Mnoho vědců věřilo, že zdroje potřebné pro Úspěšný zatmění proti Ethereum by bylo značně vyšší než bitcoinové útoky. Koneckonců, síť P2P společnosti Ethereum zahrnuje robustní mechanismus pro kryptografické ověření zprávy a ve výchozím nastavení vrstevníci navazují 13 odchozích připojení, ve srovnání s osmi pro bitcoiny. Nyní někteří stejní vědci kteří vymysleli bitcoinový útok v roce 2015, jsou zpět, aby zaznamenali rekord rovný. V příspěvku zveřejněném ve čtvrtek psali:
Prokazujeme, že konvenční moudrost je nepravdivá. Prezentujeme nové útoky zatmění, které ukazují, že před zveřejněním tohoto práce v lednu 2018, Ethereum síť peer-to-peer byla výrazně méně bezpečné než bitcoin. Naše zatmění Útočníci potřebují ovládat pouze dva stroje, každý pouze s jedním IP adresa. Útoky jsou mimo cestu – útočník ovládá endhosty pouze a nezastává privilegované postavení mezi obětí a zbytek sítě Ethereum. Naopak nejznámější off-path eclipse útoky na bitcoiny vyžadují, aby útočník ovládal stovky hostitelských počítačů, každý s odlišnou IP adresou. Pro většina uživatelů internetu, není zdaleka triviální získat stovky (nebo tisíce) IP adres. To je důvod, proč se zatmění bitcoinů Předpokládaný útočník [ve výzkumu 2015] byl plnohodnotný botnet nebo poskytovatel internetových služeb, zatímco bitcoin únosce BGP Předpokládaný útočník zatmění [v dokumentu z roku 2016] potřeboval přístup k BGP mluvící základní internetový router. Naopak naše útoky mohou být běh kterékoli dítě se strojem a skriptem.
Zvyšuje laťku
V lednu vědci podali svá zjištění Ethereum vývojáři. Reagovali tím, že provedli změny, aby získali co nejvíce populární aplikace podporující protokol Ethereum. Ethereumuživatelé, kteří se spoléhají na geth, by se měli ujistit, že mají nainstalovanou verzi 1.8 nebo vyšší. Vědci se nepokusili proti stejným útokům další klienty Ethereum. V e-mailu vývojář společnosti Ethereum Felix Lange napsal:
„Udělali jsme, co bylo v našich silách, abychom zmírnili útoky v mezích protokolu. Článek se zabývá zatměním „s nízkými zdroji“ útoky. Pokud víme, tyč byla dostatečně vysoká že útoky zatmění nejsou proveditelné bez podstatnějších zdroje, s opravami, které byly implementovány v geth v1.8.0. “Lange pokračoval říkat, že nevěřil další populární Aplikace Ethereum s názvem Parity je zranitelná vůči stejným útokům.
Příspěvek s názvem Útoky s nízkým zdrojem zatmění na Ethereum’s Síť Peer-to-Peer popsala dva samostatné útoky. Nejjednodušší jedna se spoléhala na dvě adresy IP, z nichž každá generuje velká čísla kryptografických klíčů, které protokol Ethereum používá uzly typu peer-to-peer. Útočník pak čeká na restartování cíle počítač, buď včas, nebo po hackerovi posílá různé škodlivé pakety, které způsobují selhání systému. Jako cíl se znovu připojuje k síti Ethereum, útočník používá skupina uzlů pro navazování příchozích připojení před cílem může vytvořit jakékoli odchozí.
Druhá technika funguje vytvořením velkého počtu útočníkem ovládané uzly a odesílání speciálního paketu účinně jedovat cílovou databázi s podvodníkem uzly. Když se restartuje cíl, všichni kolegové se k němu připojí bude patřit útočníkovi. V obou případech, jakmile je cíl izolované od legitimních uzlů, může útočník představovat nepravdu verze blockchainu. Žádní vrstevníci nezpochybňovali tuto verzi, cílem bude předpokládat, že manipulovaná verze je oficiální blockchain.
Už je čas
Další čtení
Nové útoky na Network Time Protocol mohou HTTPS porazit a vytvořit chaosVědci představili třetí techniku, která způsobuje zatmění útoky snadněji proveditelné. Stručně řečeno, funguje to nastavením počítačové hodiny cíle 20 nebo více sekund před ostatními uzly v síti Ethereum. Chcete-li zabránit takzvaným opakovaným útokům – in který hacker při pokusu odešle starou ověřenou zprávu aby bylo provedeno vícekrát – protokol Ethereum odmítá zprávy starší než 20 sekund. Nastavením cíle útočníci mohou způsobit, že cíl ztratí kontakt se všemi legitimní uživatelé. Útočníci používají škodlivé uzly stejně čas na připojení k cíli. Někteří stejní vědci za technikou zatmění Ethereum bylo popsáno různé načasování útoky v samostatném dokumentu zveřejněném v roce 2015.
Vývojáři Ethereum zavedli protiopatření proti první útok, který zajistí, že každý uzel bude vždy odchozí spojení s ostatními vrstevníky. Oprava druhého útoku omezení počtu odchozích připojení, ke kterým může cíl dojít stejný / 24 kus IP adresy na 10. Změny jsou navrženy tak, aby je výrazně obtížnější úplně izolovat uživatele další legitimní uživatelé. Když se uživatelům zobrazí pouze jeden uzel jinou verzi blockchainu, budou varováni před chyba, která účinně porazí útok.
Vývojáři společnosti Ethereum neprovedli opravu časově založeného Záchvat. Protože to obvykle vyžaduje, aby útočník manipuloval provoz přes internetové připojení cíle nebo využít zranitelnost, která není součástí Ethereum v cílovém počítači, je to pravděpodobné představuje menší hrozbu než ostatní dva útoky.
Vědci z Bostonské univerzity a University of Pittsburgh varoval uživatele, aby se chránili před zatměním ohrožení.
“Vzhledem k rostoucímu významu Ethereum pro svět blockchain ekosystém, myslíme si, že je nezbytné, aby protiopatření zabránit tomu, aby byly přijaty co nejdříve, “napsali. “Operátoři uzlů Ethereum by měli okamžitě upgradovat na geth v1.8. ”
