تحليل استخدام التوقيعات الرقمية: 10 من أصل 15 عملات رقمية مشفرة لا توقع برمجيات

عند قراءة آخر الأخبار حول الاستبدال الناجح لرمز مشروع كبير من قبل المجرمين الإلكترونيين ، يطرح السؤال بشكل طبيعي: كيف يمكن ذلك حتى إذا تم التوقيع على الرمز!؟ إن تجاهل قواعد الأمان في التشفير هو تناقض ، وفي الوقت نفسه ، حقيقة ، بحيث لا تتحول هذه المقالة إلى حامل لرجل كاذب ، لقد اخترت للتحليل ليس مبتدئين ، ولكن العملات المشفرة من أعلى تصنيف CoinMarketCap. وأنت خمنت ذلك ، وليس عبثا.

دعونا نرى كيف تسير الأمور باستخدام التوقيعات الرقمية في معقل ثورة التكنولوجيا المالية.

الدافع

كما تعلم على الأرجح ، تحدث عمليات اختراق للمواقع الرسمية وملفات تعريف github لمشاريع التشفير في كثير من الأحيان يتم من خلالها نشر الرموز الضارة. في بعض الأحيان يتم استبدال عناوين المحفظة ، وفي حالات أخرى يتم استبدال البرامج الموزعة. تختلف طرق القرصنة: هناك هجوم على إحدى عقد الشبكة المسؤولة عن تسليم البيانات ويتم إجراء استبدال مخفي لجزء من البيانات. إن اكتشاف محاكاة ساخرة أمر صعب للغاية ، وهو ما يستخدمه مجرمو الإنترنت. هناك عدة طرق للدفاع ضد مثل هذا الهجوم. يعتبر توقيع PGP معيارًا: نشر مبالغ التحقق الموقعة. للقيام بذلك ، يجب توزيع مفتاح PGP بشكل صحيح. على سبيل المثال ، تم نشره على موارد مختلفة (يفضل أكثر من اثنين).

التحليل

للتحليل ، استخدمت الموارد الرسمية والروابط التي تلقيتها من مصادر مختلفة. ثم بدأ في جمع المعلومات التي تتحرك من اتجاهات مختلفة. أخذ التحليل في الاعتبار نشر كل من برمجيات المستخدم و SDK. للتحليل ، لم تؤخذ الرموز أو المشاريع القائمة على العقود الذكية ، فقط العملات المشفرة.

النتائج

(*) تستخدم Ethereum Classic برنامج جهة خارجية ولا تنشر معلومات لتأكيد الإصدار.

الأخطاء الشائعة

1. عدم التوقيع على هذا النحو ( 10/15 ):
   قد يتبين أنه غير موقّع كرمز قابل للتنفيذ ، ولكن المكتبات غير الموقعة وبرامج التطبيقات مثل المحافظ أكثر شيوعًا.
2. التوقيع بواسطة مفاتيح غير منشورة ( 2/15 ):
   تم التوقيع على الرمز من قبل العديد من المطورين الذين لم يتم نشر مفاتيحهم في أي مكان ، وبالتالي فإن هذه التوقيعات لا فائدة منها.
3. نشر المفاتيح والرموز في مصدر واحد ( 5/15 ).
   من الأخطاء الشائعة جدًا نشر المفاتيح عبر رابط على مورد تابع لجهة خارجية ، أو إنشاء مصدر موثوق واحد في شكل موقع. وبالتالي ، لاستبدال البيانات ، يكفي اختراق الموقع فقط.

أخطاء شاذة

يعرض Monero إلقاء نظرة على المفاتيح الموجودة في المجلد بالبيانات الموقعة. في الجوهر ، يعد هذا خطأ توزيع رئيسيًا ، مما يؤدي إلى فقدان كامل للاعتمادية.

ملاحظة!

• تنشر Litecoin المفاتيح ، بما في ذلك كرابط إلى المورد الموثوق به pgp.mit.edu.
• تنشر Ethereum و Zcash قوائم المفاتيح التفصيلية:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• تنشر Ethereum مفاتيح خدمة CI.

الأسباب

1. عدم وجود استراتيجية موحدة . اليوم لا توجد تعليمات تناسب معظم المطورين لحل مشاكل ضمان تسليم كود مضمون على منصات مختلفة. نسبة كبيرة من عروض الهواة.
2. التقادم . إذا نظرت إلى المواقع الرئيسية لتقنية PGP ، فإنك تحصل على الانطباع بأن التكنولوجيا في حالة نسيان:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. عدم وجود أدوات شاملة لنشر التوقيعات والتحقق منها . حتى إذا كانت هناك رغبة ، سيواجه المستخدم عقبات خطيرة في الطريق - العديد من المستخدمين لا يعرفون كيف وهم غير مستعدين لاستخدام وحدة التحكم الإلزامية للتحقق من التوقيع. حتى بالنسبة للمطورين ، فإن استخدام التوقيع ليس مهمة تافهة.
4. بروتوكول تبادل مفتاح موقوف . في القرن الحادي والعشرين ، عندما لا يجتمع المطورون أبدًا تقريبًا أبدًا ، يصبح ترتيب تبادل المفاتيح على أساس p2p غير ملائم للغاية وهناك حاجة إلى أدوات لتسريع توزيع وإلغاء التوقيعات.

نصائح

أفضل النصائح في هذه الحالة:

1. فصل المفاتيح حسب المهمة (سيساعد هذا على تجنب تسرب المفتاح الرئيسي أو استخدام مفتاح المطور لتوقيع إصدار).
2. معلومات مكررة في عدة مصادر ، على سبيل المثال ، على الموقع الرسمي وعلى Github (اختراق اثنين من الموارد في نفس الوقت أكثر صعوبة من واحد).
3. إنشاء عنوان url يمكن للمستخدم قراءته (يسهل تذكره والتحقق منه).

دليل التعليمات

إذا كنت لا تستخدم مفاتيح PGP حتى الآن ، فإنني أوصيك بشدة بتضمين التحقق من التوقيع في سير العمل ، حتى إذا كنت لا تطور مشاريع مالية ، فمن الأفضل إحضار هذه المهارة إلى الأتمتة قبل أن تحتاج إليها. يكفي من ساعة من الوقت ما يكفي لبدء ، ولكن لا يمكن قياس المتعة المتلقاة.

الخلاصة

اليوم ، تعاني البنية الأساسية لتوصيل الشفرة من أمراض الطفولة: التفتت ، والافتقار إلى الممارسات الراسخة ، والبرمجيات التي لا تلبي الواقع ، ومطوري المشاريع الكبيرة حتى تحت رقابة الآلاف من العيون تمكنوا من ارتكاب أخطاء بسيطة حتى عندما يتعلق الأمر بالأمن. لذا ثق ، ولكن تحقق من٪ username٪!