हैक Mimblewimble गोपनीयता तंत्र

Mimblewimble / मुस्कराहट क्रिप्टोक्यूरेंसी गोपनीयता मौलिक रूप से कमजोर है। AWS पर प्रति सप्ताह केवल $ 60 खर्च करने के बाद, मैंने वास्तविक समय में ग्रिन के 96% लेनदेन के लिए प्रेषकों और प्राप्तकर्ताओं को विशिष्ट रूप से जोड़ा।

भेद्यता Mimblewimble प्रोटोकॉल के केंद्र में है, और मुझे नहीं लगता कि इसे ठीक किया जा सकता है। इसलिए, गोपनीयता की रक्षा के मामले में, मिम्बलविंबल को अब Zcash या Monero के लिए एक व्यवहार्य विकल्प नहीं माना जा सकता है।

पिछले दो वर्षों में, Mimblewimble निजी क्रिप्टोकरेंसी ("गोपनीयता के सिक्के") के लिए एक कॉम्पैक्ट प्रोटोकॉल के रूप में लोकप्रिय हो गया है। Mimblewimble को 2016 में एक हैकर ने छद्म नाम एल्विस जेडसोर के तहत बनाया था। उन्होंने आईआरसी चैट को प्रोटोकॉल विवरण भेजा और गायब हो गया। तब से, Mimblewimble के सबसे प्रसिद्ध कार्यान्वयन ग्रिन क्रिप्टो-प्राइवेट क्रिप्टोक्यूरेंसी हैं जो अज्ञात डेवलपर्स द्वारा बनाए गए हैं, साथ ही साथ तारि और बीईएएम परियोजनाएं जिन्होंने उद्यम निवेश को आकर्षित किया है। यहां तक ​​कि Litecoin Mimblewimble एकीकरण पर विचार कर रहा है ।



Mimblewimble में कई शोधकर्ताओं ने पहले से ही गोपनीयता तंत्र की संभावित कमजोरियों की परिकल्पना की है। मेरे काम का योगदान यह है कि मैं एक विशिष्ट हमले की विधि का प्रदर्शन करता हूं, वास्तविक क्रिप्टोक्यूरेंसी पर इसकी व्यवहार्यता साबित करता हूं और इसकी प्रभावशीलता को मापता हूं। ग्रिन प्रयोग को चलाकर, मैंने अपने द्वारा समीक्षा किए गए लेनदेन का 96% सफलतापूर्वक प्राप्त करने में सक्षम था। तो अब यह स्पष्ट है कि यदि आपको उच्च गोपनीयता की आवश्यकता है, तो आप Mimblewimble पर भरोसा नहीं कर सकते।

मेरे गितुब में आपको हमले का एक विस्तृत विवरण मिलेगा, इसे खेलने के लिए स्रोत, एकत्रित डेटा और तकनीकी FAQ। बाद में इस लेख में कनेक्टिविटी की एक सामान्य, सहज व्याख्या है कि हमला कैसे काम करता है, और गोपनीयता प्रौद्योगिकियों के लिए इसका क्या अर्थ है।

कनेक्टिविटी क्या है?

यह समझना महत्वपूर्ण है कि इस हमले का क्या मतलब है और इसका क्या मतलब नहीं है।

यह हमला हमें उस राशि को निर्धारित करने की अनुमति नहीं देता है जो लोग प्राप्त करते हैं। Mimblewimble सफलतापूर्वक वैनिला अण्डाकार वक्रों ( पेडर्सन दायित्वों योजना ) के आधार पर क्रिप्टोग्राफी का उपयोग करके स्थानांतरण की मात्रा को छुपाता है। यह हमला हमें क्या करने की अनुमति देता है यह निर्धारित करता है कि किसने भुगतान किया । दूसरे शब्दों में, यह हमें लेनदेन को एक-दूसरे से जोड़ने और स्थानान्तरण की दिशा निर्धारित करने की अनुमति देता है।

यह महत्वपूर्ण क्यों है?

बता दें कि कॉइनबेस जानता है कि एक विशिष्ट पता डैनियल नाम के एक वेनेजुएला का है। आप, एक अमेरिकी उपयोगकर्ता, कॉइनबेस के साथ सिक्के वापस लेने की कोशिश कर रहे हैं। लेकिन लेन-देन के ग्राफ का विस्तार करने के बाद, कॉइनबेस यह निर्धारित करता है कि आपको डैनियल से पैसे मिले - भले ही वे यह नहीं जानते हों कि कितना। अमेरिकी विदेशी संपत्ति नियंत्रण प्राधिकरण द्वारा वेनेजुएला पर लगाए गए प्रतिबंधों के कारण, कॉइनबेस ने आपका खाता बंद कर दिया। (ज़ाहिर है, एक्सचेंजों को लेन-देन के ग्राफ के बारे में बहुत कुछ पता होगा, क्योंकि उनके पास केवाईसी उपयोगकर्ता डेटा है जो फ़िएट में प्रदर्शित होता है)।

या कल्पना कीजिए कि कुछ सत्तावादी सरकार को पता है कि एक निश्चित पता एक राजनीतिक असंतुष्ट का है। आप इस असंतुष्ट को एक छोटा डोनट भेजें। बाद में, जब आप अपने Mimblewimble हस्तांतरण को स्थानीय एक्सचेंज में भेजते हैं, तो यह एक्सचेंज आपके लेनदेन के डेटा को सरकार को हस्तांतरित करता है। चूंकि सरकार लेनदेन का पूरा ग्राफ देखती है, इसलिए अब यह जानती है कि आपने राजनीतिक असहमति का समर्थन किया है।

ज़कैश में इस तरह के हमले संभव नहीं होंगे। क्योंकि Zcash में लेन-देन जुड़ा नहीं है, या, दूसरे शब्दों में, हर Zcash लेनदेन में गुमनामी का एक बड़ा सेट है । गुमनामी सेट लेनदेन का एक सेट है जिसमें से आपके लेनदेन को अलग नहीं किया जा सकता है। इसे भीड़ के साथ मिलाने की कल्पना करें: गुमनामी का सेट जितना बड़ा होगा, आपके लेनदेन में उतनी ही अधिक "भीड़" होगी।



Zcash में, प्रत्येक लेनदेन के गुमनामी सेट में सभी संरक्षित सिक्के शामिल हैं। यह सैद्धांतिक जानकारी के दृष्टिकोण से अधिकतम संभव गुमनामी है।



मोनेरो में, प्रत्येक लेनदेन के लिए गुमनामी का सेट सभी उपयोगकर्ता-सक्षम चारा लेनदेन का सेट है। यद्यपि मोनोरो क्लाइंट आपको एक सेट में lures की संख्या निर्धारित करने की अनुमति देता है, वर्तमान डिफ़ॉल्ट मान 11. है (Monero के पास सुरक्षित रूप से lures चुनने में अपनी कठिनाइयां हैं , लेकिन मुझे लगता है कि यह सबसे अधिक भाग के लिए काम करता है, प्लस या माइनस )।

प्रारंभ में, यह माना जाता था कि मिम्बलविंबल गुमनामी सेट में एक ही ब्लॉक में सभी लेनदेन शामिल हैं, अर्थात्, यह इस तरह दिखता है:



लेकिन वास्तव में यह इस तरह दिखता है:



यह एकल पते पर सेट किए गए Mimblewimble गुमनामी को कम करता है।

मैं कहना चाहता हूं कि यह सामान्य तौर पर ग्रिन की आलोचना नहीं है! मैं वास्तव में ग्रिन समुदाय और कोर डेवलपर्स का सम्मान करता हूं, जिन्होंने मंचों पर हमेशा मेरे सवालों का जवाब दिया है।

ग्रिन अभी भी बिटकॉइन और अन्य निजी सिक्कों की तुलना में उच्च गोपनीयता प्रदान करता है, क्योंकि यह मात्रा को सुरक्षित रूप से एन्क्रिप्ट करता है। लेकिन मिम्बलविंबल गोपनीयता मॉडल ज़कैश या मोनरो की तुलना में कड़ाई से कमजोर है। और यह कई वास्तविक दुनिया के उपयोग के मामलों के लिए अपर्याप्त बनाता है जहां गोपनीयता की आवश्यकता होती है।

हमला अवलोकन

आप वास्तव में Mimblewimble में लेन-देन का ग्राफ कैसे बदल सकते हैं?

मैंने उल्लेख किया है कि, ट्रांसफर राशियों के एन्क्रिप्शन के बावजूद, मिम्बलवम्बल एक ट्रैसेबल ट्रांजैक्शन ग्राफ छोड़ता है। लेकिन प्रोटोकॉल के डेवलपर्स को इस बारे में पता था, और इसलिए Mimblewimble कनेक्टिविटी का मुकाबला करने के लिए दो मुख्य तरीकों का उपयोग करता है: पूरे ब्लॉक के एकत्रीकरण और "सिंहपर्णी" (डंडेलियन) के माध्यम से ।

अंत-टू-एंड एकत्रीकरण का विचार यह है कि जब लेनदेन को एक ब्लॉक में एकत्र किया जाता है, तो उन्हें एक "सुपर-लेन-देन" में एकत्र किया जाता है। यह "सुपर ट्रांजेक्शन " एक विशाल कॉइनजॉइन की तरह दिखता है - सभी इनपुट और आउटपुट को एक साथ मिलाया जाता है, और यह निर्धारित करने का कोई आसान तरीका नहीं है कि किसको भुगतान किया जाए। इनपुट्स का एक गुच्छा और आउटपुट का एक गुच्छा है, और विशिष्ट मात्रा छिपी हुई है।



विश्वसनीय लगता है? केवल एक समस्या है: इस CoinJoin को एक बार में एक लेनदेन बनाया जाता है। चूंकि लेन-देन लगातार अलग-अलग स्थानों से बनाए और भेजे जा रहे हैं, अगर आप एक स्निफर नोड रखते हैं जो एंड-टू-एंड एकत्रीकरण पूरा होने से पहले सभी लेनदेन एकत्र करता है, तो CoinJoin को खोलना बहुत आसान है। कोई भी स्निफर नोड केवल नेटवर्क की निगरानी कर सकता है और एकत्र किए जाने से पहले मूल लेनदेन को याद कर सकता है। यह काफी आसान है अगर आप बस उन सभी संदेशों को संग्रहीत करते हैं जो आप पी 2 पी नेटवर्क पर देखते हैं।


यहाँ आप आश्चर्यचकित हो सकते हैं - और क्या यह सब है?

वास्तव में, ग्रिन टीम द्वारा बनाई गई सुरक्षा की एक और परत है: डैंडेलियन प्रोटोकॉल ("डैंडेलियन") । Dandelion, कार्नेगी मेलन विश्वविद्यालय के शोधकर्ताओं द्वारा विकसित एक नेटवर्किंग विधि है , जिसे लेनदेन के निर्माता के आईपी को छिपाना चाहिए।



आमतौर पर, बिटकॉइन जैसी क्रिप्टोकरेंसी में, लेनदेन का निर्माता केवल अपने सभी साथियों को लेनदेन भेजता है, और यह जल्दी से पी 2 पी नेटवर्क से गुजरता है। लेकिन डैंडेलियन प्रोटोकॉल में, प्रत्येक लेनदेन का वितरण एक टूटे हुए फोन के गुप्त खेल से शुरू होता है। निर्माता अपने लेन-देन को सिर्फ एक दावत में स्थानांतरित करता है, जो बदले में, इसे एक और दावत में भेजता है, और इसी तरह श्रृंखला (सिंहपर्णी "ट्रंक")। इस तरह की चालों की एक यादृच्छिक संख्या के बाद, अंतिम दावत बिल्कुल लेनदेन को बिटकॉइन में भेजती है (सिंहपर्णी "फूल")। लेकिन यह दावत लेन-देन के निर्माता से इतनी दूर है कि कोई भी पर्यवेक्षक यह नहीं बता सकता कि किसने श्रृंखला शुरू की।

यह लेनदेन करने वाले व्यक्ति के आईपी को छिपाने के लिए बहुत अच्छा काम करता है। लेकिन डंडेलियन इन ग्रिन का एक दूसरा कार्य है: दुर्लभ मामलों में, यह आपको लेनदेन की गुमनामी को बनाए रखने की अनुमति देता है, भले ही नेटवर्क में कोई स्निफर नोड हो। चूंकि प्रत्येक लेन-देन डंडेलियन "स्टेम" चरण में शुरू होता है, जब दो लेनदेन "स्टेम" प्रचार चरण में अंतर करते हैं, तो वे जल्दी एकत्र हो जाएंगे। यदि ऐसा होता है, तब तक लेन-देन बाहर भेज दिया जाता है और सभी के लिए दृश्यमान हो जाता है, तो स्निफर नोड लेनदेन को पेस्ट नहीं कर सकता है: वे पहले से ही CoinJoin में एक साथ फंस गए हैं।

तंत्र भेजने वाला यह लेन-देन स्निफर नोड्स द्वारा लेन-देन की कनेक्टिविटी के खिलाफ ग्रिन की प्राथमिक रक्षा है। लेकिन उसे तोड़ने का एक आसान तरीका है।

डिफ़ॉल्ट रूप से, प्रत्येक ग्रिन नोड 8 अन्य पीयर नोड्स से जुड़ा होता है। लेकिन साथियों की संख्या में वृद्धि करके, मैं अपने स्निफर नोड को प्रत्येक नेटवर्क नोड से जोड़ सकता हूं। यदि मेरी साइट लंबे समय से लगातार ऑनलाइन रही है, तो अंत में, नेटवर्क के लगभग सभी नोड्स मुझसे जुड़ जाएंगे, जिससे मुझे सुपर हब बना दिया जाएगा।

जब मैं एक सुपरकॉट बन जाता हूं, तो एक उच्च संभावना है कि मैं प्रत्येक लेनदेन के "डंडेलियन" की श्रृंखला में रहूंगा। इस प्रकार, एकमात्र कारण कि मैं इसके एकत्रीकरण से पहले लेनदेन को पकड़ नहीं पा रहा हूं, अगर मैं कम से कम उनमें से एक को देखने से पहले दो लेन-देन सिंहपर्णी के स्टेम चरण में पार कर गया । यदि मैं उनमें से कम से कम एक को एकत्र करने से पहले देखता हूं, तो मैं उन्हें सेट के एक साधारण घटाव के साथ अलग कर सकता हूं।



मेरे हमले में, मैं सभी लेन-देन का 96% कनेक्ट करने में सक्षम था, जो ग्रिन नेटवर्क में कुल 3000 साथियों से केवल 200 साथियों को जोड़ता था। लेकिन अगर मैं थोड़ा और पैसा खर्च करने को तैयार था, तो मैं लगभग सभी लेनदेन को आसानी से पूरा करने के लिए 3,000 नोड्स से जुड़ सकता था। और इसके लिए एक बड़े सुपरयुसर को रखना आवश्यक नहीं है - एक ही हमला काम करेगा यदि आप अद्वितीय आईपी के साथ 3,000 अलग-अलग नोड चलाते हैं, जिनमें से प्रत्येक केवल एक सहकर्मी से जुड़ा होगा। जब तक मैं सभी ट्रांजेक्शनल डेटा को इंटरसेप्ट करता हूं और इसे सेंट्रल मास्टर डेटाबेस में डंप करता हूं, तब तक हमला बिल्कुल उसी तरह से काम करेगा।

तो क्या मिम्बलवीम्बल को बचाना संभव है?

अस्पष्ट। मेरी राय में, ग्रिन के वर्तमान संस्करण में, लेनदेन ग्राफ की रक्षा करने का कोई तरीका नहीं है। बस "डंडेलियन" को लंबा करना पर्याप्त नहीं है - बड़ी संख्या में नोड्स के साथ हारना आसान होगा, जैसा कि मैंने तकनीकी रिपोर्ट में वर्णन किया है।

लेकिन ट्रांसेक्शनल कनेक्टिविटी के बावजूद, मिम्बलेविमबल में अभी भी ऐसे गुण हैं जो प्रोटोकॉल को अन्य क्रिप्टोकरेंसी से अलग करते हैं। एंड-टू-एंड एकत्रीकरण इसमें संभव है, जो ब्लॉकचेन के आकार को कम करने का एक प्रभावी तरीका है, और यह लेनदेन की मात्रा को प्रभावी ढंग से छिपाता है। यदि आप उच्च गोपनीयता चाहते हैं, तो आप हमेशा एक अन्य प्रोटोकॉल के साथ मिम्बलविंबल को जोड़ सकते हैं जो लेन-देन ग्राफ को छुपाता है, उदाहरण के लिए एथेरम 9¾ (जो कि जीर्बाश-शैली शून्य-रीसेट योजना के साथ मिम्बलविंबल को जोड़ती है) में।

लेकिन यह स्पष्ट है कि Mimblewimble स्वयं इतना मजबूत नहीं है कि वह उच्च गोपनीयता प्रदान कर सके।

बिटकॉइन अब 11 साल का है, लेकिन क्रिप्टोकरेंसी अभी भी विकास के बहुत शुरुआती चरण में है। इतनी देर पहले, Zcash और Monero दोनों में गंभीर कमजोरियों का पता चला था। और यह उम्मीद की जानी है: अधिकांश दिलचस्प प्रौद्योगिकियां अभी भी अनुसंधान चरण में हैं।

लेकिन यह है कि विज्ञान हमेशा कैसे विकसित होता है: हम लगातार नई परिकल्पना करते हैं और उनका तब तक खंडन करते हैं, जब तक कि समय की कसौटी पर खरा न उतर जाए।

इस रिपोर्ट को तैयार करने और गुमनामी के सेट को दर्शाने में पर्याप्त मदद के लिए हसीब किरीशी का धन्यवाद। इस पद के ड्राफ्ट की समीक्षा के लिए ओलेग ओस्ट्रुमोव, एलेना नाडोलिंस्की, मोहम्मद फाउड, लुकास रयान और नादेर अल-नाजी का अतिरिक्त धन्यवाद। और डैंडेलियन चित्रण और ब्लॉक एकत्रीकरण के लिए जेक स्टुट्ज़मैन (NEAR प्रोटोकॉल) के लिए बहुत धन्यवाद। लेख का अनुवाद करने के लिए डारिया स्मिरनोवा को धन्यवाद।

यदि आप लेख पसंद करते हैं, तो मैं अपने ट्विटर की सदस्यता लेने की सलाह देता हूं , जहां वे पहले (अंग्रेजी में) जाते हैं।

प्रकटीकरण: ड्रैगनफ्लाई कैपिटल इस रिपोर्ट में सूचीबद्ध संपत्ति को प्रकाशन की तारीख से 3 दिनों तक व्यापार नहीं करने के लिए सहमत है।