Analyse der Verwendung digitaler Signaturen: 10 der 15 wichtigsten Kryptowährungen signieren keine Software

Beim Lesen der neuesten Nachrichten über die erfolgreiche Ersetzung des Codes eines großen Projekts durch die Angreifer stellt sich natürlich die Frage: Wie ist dies überhaupt möglich, wenn der Code signiert wurde? Das Ignorieren der Sicherheitsregeln in der Kryptosphäre ist ein Widerspruch und gleichzeitig eine Tatsache, sodass dieser Artikel nicht zum Träger eines lügnerischen Mannes wird. Ich habe für die Analyse nicht Neulinge ausgewählt, sondern Kryptowährungen von der Spitze des CoinMarketCap-Ratings. Und Sie haben es erraten, nicht umsonst.

Mal sehen, wie es mit der Verwendung digitaler Signaturen in der Hochburg der Fintech-Revolution läuft.

Motivation

Wie Sie höchstwahrscheinlich wissen, kommt es häufig zu Hacks von offiziellen Websites und Github-Profilen von Krypto-Projekten, über die sich bösartiger Code verbreitet. Manchmal werden Brieftaschenadressen ersetzt, in anderen Fällen wird verteilte Software ersetzt. Hacking-Methoden unterscheiden sich: Es gibt einen Angriff auf einen der Netzwerkknoten, die für die Datenübertragung verantwortlich sind, und es wird eine versteckte Ersetzung eines Datenfragments durchgeführt. Das Erkennen einer Parodie ist visuell recht schwierig, was Cyberkriminelle verwenden. Es gibt verschiedene Möglichkeiten, sich gegen einen solchen Angriff zu verteidigen. Die PGP-Signatur gilt als Standard: Veröffentlichung der signierten Verifizierungssummen. Dabei muss der PGP-Schlüssel ordnungsgemäß verteilt werden. Zum Beispiel auf verschiedenen Ressourcen veröffentlicht (vorzugsweise mehr als zwei).

Analyse

Für die Analyse habe ich offizielle Ressourcen verwendet, Links, die ich aus verschiedenen Quellen erhalten habe. Dann begann er Informationen zu sammeln, die sich aus verschiedenen Richtungen bewegten. Die Analyse berücksichtigte die Veröffentlichung sowohl der Anwendersoftware als auch des SDK. Für die Analyse wurden keine Token oder Projekte verwendet, die auf intelligenten Verträgen basieren, sondern nur Kryptowährungen.

Ergebnisse

(*) Ethereum Classic verwendet Software von Drittanbietern und veröffentlicht keine Informationen, um die Veröffentlichung zu bestätigen.

Häufige Fehler

1. Fehlende Unterschrift als solche ( 15.10. ):
   Es kann sich herausstellen, dass es nicht als ausführbarer Code signiert ist, aber nicht signierte Bibliotheken und Anwendungssoftware wie Brieftaschen sind häufiger.
2. Unterschrift durch unveröffentlichte Schlüssel ( 2/15 ):
   Der Code wird von mehreren Entwicklern signiert, deren Schlüssel nirgendwo veröffentlicht werden, und dementsprechend sind solche Signaturen nutzlos.
3. Veröffentlichung von Schlüsseln und Code in einer Quelle ( 5/15 ).
   Ein sehr häufiger Fehler ist die Veröffentlichung von Schlüsseln über einen Link in einer Ressource eines Drittanbieters oder die Erstellung einer einzigen vertrauenswürdigen Quelle in Form einer Site. Um Daten zu ersetzen, reicht es daher aus, nur die Site zu hacken.

Atypische Fehler

Monero bietet an, die Schlüssel im Ordner mit den signierten Daten zu überprüfen. Im Wesentlichen handelt es sich hierbei um einen Schlüsselverteilungsfehler, der zu einem vollständigen Verlust der Zuverlässigkeit führt.

Hinweis!

• Litecoin veröffentlicht Schlüssel, auch als Link zur vertrauenswürdigen Ressource pgp.mit.edu.
• Ethereum und Zcash veröffentlichen detaillierte Keylisten:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• Ethereum veröffentlicht CI-Serviceschlüssel.

Gründe

1. Fehlen einer einheitlichen Strategie . Heutzutage gibt es keine Anleitung, die für die meisten Entwickler geeignet wäre, um die Probleme der Gewährleistung einer garantierten Codebereitstellung auf verschiedenen Plattformen zu lösen. Ein großer Teil der Amateurleistungen.
2. Veralterung . Wenn Sie sich die wichtigsten Standorte der PGP-Technologie ansehen, haben Sie den Eindruck, dass die Technologie in Vergessenheit gerät:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. Mangel an umfassenden Tools zum Veröffentlichen und Überprüfen von Signaturen . Selbst wenn ein Wunsch besteht, stößt der Benutzer auf ernsthafte Hindernisse - viele Benutzer wissen nicht wie und sind nicht bereit, die obligatorische Konsole zur Überprüfung der Signatur zu verwenden. Selbst für Entwickler ist die Verwendung einer Signatur keine triviale Aufgabe.
4. Veraltetes Schlüsselaustauschprotokoll . Im 21. Jahrhundert, wenn Entwickler sich fast nie persönlich treffen, wird es nicht sehr bequem, einen Schlüsselaustausch auf P2P-Basis zu arrangieren, und es werden Tools für eine schnellere Verteilung und Sperrung von Signaturen benötigt.

Tipps

Die besten Tipps in dieser Situation:

1. Trennen Sie die Schlüssel nach Aufgaben (dies hilft, das Auslaufen eines Hauptschlüssels oder die Verwendung eines Entwicklerschlüssels zum Signieren einer Version zu vermeiden).
2. Doppelte Informationen in mehreren Quellen, z. B. auf der offiziellen Website und auf Github (das gleichzeitige Hacken von zwei Ressourcen ist schwieriger als eine).
3. Generieren Sie eine von Menschen lesbare URL (diese sind leichter zu merken und zu überprüfen).

Bedienungsanleitung

Wenn Sie noch keine PGP-Schlüssel verwenden, empfehle ich dringend, die Signaturüberprüfung in den Workflow aufzunehmen. Auch wenn Sie keine Finanzprojekte entwickeln, ist es besser, diese Fähigkeit zu automatisieren, bevor Sie sie benötigen. Genug aus der Kraft einer Stunde Zeit reicht aus, um zu beginnen, aber das dann empfangene Vergnügen kann nicht gemessen werden.

Fazit

Heutzutage leidet die Code-Bereitstellungsinfrastruktur an Kinderkrankheiten: Fragmentierung, Mangel an etablierten Praktiken, Software, die nicht den Realitäten entspricht, und Entwickler selbst großer Projekte, die von Tausenden von Augen geprüft werden, schaffen es, selbst einfache Fehler in Bezug auf die Sicherheit zu machen. Also vertraue, aber überprüfe% username%!