Pratima Harigunani
I tagli di carta non sono gravi quanto i morsi di serpente. Lo sappiamo. Parlando di sicurezza, le forchette non fanno paura quanto i coltelli. Quello. Non lo sappiamo ancora.
Non doveva andare così; ma allora, quando mai la vita (e la tecnologia) funzionano su supposizioni! Gli esseri umani – esseri umani geniali, intelligenti, coraggiosi e ribelli – si erano radunati attorno alla capsula. Alcuni strascicarono i piedi mentre veniva effettuato il primo taglio. Alcuni si fecero piccoli e chiusero gli occhi mentre l'ago entrava e usciva per cucire. Alcuni sorrisero mentre il corpo tornava in vita con un nuovo suono. L'inimitabile e ferrea creatura era appena stata operata. Mentre i chirurghi uscivano dalla stanza, alcuni occhi rimasero aperti sulla creatura. Timidi e preoccupati, borbottavano tra loro.
«Ma questa specie non è stata progettata per non cambiare mai in alcun modo?
“Le mutazioni erano necessarie?
"E se questi nuovi geni ne facessero un Frankenstein?"
“Il lato sinistro funzionerà diversamente e gli organi del lato destro non interferiranno affatto? Come funzionerà?
"Dimenticalo. Non hai visto, abbiamo aperto la laminazione! Dio sa quali virus sono entrati prima che lo sigillassimo!”
I loro pensieri udibili furono interrotti da un colpo deciso alla porta. Era ora di uscire e sperare che tutto andasse liscio. E sicuro.
Forchette: non solo una punta mozza
Fare storie per i piccoli cambiamenti del tempo è un diritto di ogni nevrotico. E spesso non sono privi di una giusta argomentazione. Nessuno sapeva che il mondo inespugnabile di blockchain un giorno avrebbe avuto la sua parte di previsioni sulle minacce e di hack in stile Houdini. Eppure eccoci qui, nel 2019, dopo una serie di furti con scasso in Exchange, malware di criptomining, furti di portafogli e quant'altro.
Abbiamo una minaccia McAfee Blockchain Relazione avvertendo bene il settore: “Senza una chiara comprensione di dove sono i rischi, potresti riporre un’indebita fiducia nelle tue implementazioni blockchain. Come abbiamo visto, gli errori sono facili da commettere. Gli utenti sono ancora più difficili da controllare e possono contribuire negativamente al rischio. Dobbiamo imparare dagli eventi recenti per prendere decisioni migliori per proteggere le nostre tecnologie per il futuro.
Anche il Security Report 2019 di Checkpoint, Cyber Attack Trend Analysis evidenzia come Jenkins Miner, RubyMiner ecc. fossero minacce importanti da tenere in considerazione lo scorso anno; con oltre il 20% delle organizzazioni colpite ogni settimana dal malware cryptojacking. “Un anno dopo aver preso d’assalto il mondo, i cryptominer non mostrano alcuna intenzione di rallentare presto. Nuove e sofisticate famiglie di malware continuano a integrare funzionalità di mining nel loro codice...” Quando le classifiche principali del malware del 2018 mostrano malware di cryptomining con un impatto globale di circa il 40%, allora non è paranoico preoccuparsi di ciò che verrà dopo
Nessuno si aspettava che il mondo ben consolidato delle criptovalute avesse qualche ammaccatura; eppure abbiamo un anno costellato di attacchi. E le forchette, o gli aggiornamenti al protocollo, saranno buone scuse per chi è nervoso per prendere il disinfettante ogni 15 secondi. Abbiamo costruito una migliore immunità o una maggiore fragilità optando per hard e soft fork?
Macchina per la risonanza magnetica per il mal di testa?
Gli aggiornamenti potrebbero essere uno spreco di panico. O no. Dopotutto, la sicurezza di una blockchain dipende da determinati presupposti: come il contributo alla rete, l'"hash rate" è ben distribuito e non consente a nessuna entità o gruppo collaborativo di elaborare più del 50% della rete in qualsiasi momento.
Cosa succede allora quando i fork, soprattutto quelli controversi, portano a un rimpasto di sviluppatori e miner? O cosa succederebbe se la doppia spesa diventasse facile (se non dopo o a causa, almeno durante un fork) in modo che la stessa moneta possa essere spesa più volte e lasciare un destinatario a mani vuote? Non abbiamo bisogno di conoscere il rischio di monete e catene più piccole da ciò che abbiamo visto con Verge o Krypton.
Inoltre, le catene o catene laterali sviluppate internamente sarebbero intrinsecamente vulnerabili alla mancanza di nodi onesti – un altro fondamento o presupposto della sicurezza di una blockchain?
Se non altro, vale la pena sudare un po' su due proiettili di paura immediati e comprovati:
- Borseggiatori in fuga o in un piccolo vicolo:
La fase di transizione dal vecchio fork al nuovo aggiornamento richiede tempo, finché tutti non riescono a comprendere il grande cambiamento. Questa può essere una finestra propizia per gli hacker per mirare a utenti e scambi di portafogli deboli o incapaci, specialmente quelli centralizzati. Inoltre, mentre le vulnerabilità di implementazione (the Bitcoin wiki ha un elenco di vulnerabilità ed esposizioni comuni relative agli strumenti ufficiali) - che vengono comunemente scoperte e corrette dopo il rilascio - hanno visto un rallentamento nella scoperta. Ma il settore degli strumenti comunitari e di terze parti resta ancora un punto interrogativo. Ricordiamo l'exploit zero-day che ha colpito PyBitmessage (febbraio 2018), uno strumento di trasferimento di messaggi peer-to-peer che rispecchiava il sistema di trasferimento a blocchi della valuta. Anche le comunità più piccole e con meno risorse, come osservato a metà luglio 2017 con Iota, possono diventare vulnerabili al furto di monete.
Inoltre, quando gli utenti rivendicano una moneta hard-fork o riorganizzano il denaro dopo un fork o svuotano denaro da portafogli precedenti, si apre una nuova vulnerabilità derivante dall'esposizione delle informazioni sulla chiave privata necessarie per la richiesta. Altrimenti esiste il rischio che la privacy finanziaria finisca nel distruggidocumenti. - Confusione e duplicazione:
La doppia spesa e le collisioni hash non sono facili da ignorare, anche se rappresentano solo una minaccia teorica. Qualcuno ha giustamente ricordato la regola d'oro della crittografia "Non creare la tua criptovaluta" quando è stata evidenziata la necessità di prestare particolare attenzione a qualsiasi codice personalizzato (o modifiche alle funzioni relative alla crittografia). I fork e gli aggiornamenti devono essere attentamente controllati prima della produzione, specialmente quando parliamo di una comunità essenzialmente decentralizzata come la blockchain. Quando i fork stessi sono pieni di attriti e di dibattiti infiniti, queste preoccupazioni possono essere amplificate. Le migrazioni da MD5 a SHA-1 a SHA-256 hashing e lo sviluppo di Verge sono esempi sostanziali della necessità di una buona preparazione alla produzione in questo caso. Come esperti di Digital Asset Ricerca hanno avvertito: "Il contesto e il tempismo sono fondamentali quando si tratta di fork". Ancor di più, con cambiamenti drastici e improvvisi.
In aggiunta a ciò, esiste la possibilità (anche se solo sulla carta per ora) di pre-mining di monete o attacchi di replay che possono utilizzare la duplicazione per coniare denaro a spese di altri. Se non è presente alcuna "protezione dalla riproduzione", le transazioni che comportano il trasferimento delle monete della blockchain originale sono valide su entrambe le catene, e quindi si apre una scappatoia per gli hacker che possono riprodurre maliziosamente la stessa transazione sulla nuova blockchain biforcuta.
No Rachel, non sembri grassa dalle radiografie
Per fortuna, finora non è emerso alcun allarme o danno grave dalle forche. Potrebbe accadere di nuovo, grazie alla forza di fondo e alla diligenza della comunità di cui la blockchain è stata dotata. Anzi, anche online dibattiti su "se i minatori possano rubare transazioni SegWit su The Real Bitcoin?" ha avuto risposte che dicevano: "...certo, potresti fare un hard fork e rubare le monete spese nelle transazioni Segwit, ma a nessuno importerebbe perché sarebbe un hard fork e diventerebbe semplicemente un altro altcoin a cui nessuno pensa mai."
Un’altra salvaguardia interessante emersa è il modo in cui i minatori vengono incentivati a non eseguire l’hard fork e a non rubare monete. Ma questi ping-pong online inducono anche le persone a interrogarsi sulla sicurezza a breve e lungo termine di entrambe le catene, poiché l’hash power è distribuito su due catene e ne può derivare un effetto negativo sul valore. COME un commento ha suscitato bene la questione: “… un bivio del progetto getterebbe la comunità in subbuglio. Alcuni sviluppatori potrebbero andarsene, alcune aziende potrebbero andare in bancarotta, molti utenti perderebbero denaro. La comunità dovrebbe riorganizzarsi, lavorare sulla governance, elaborare nuovi obiettivi e ricostruire i team. I blocchi rallenteranno a causa della suddivisione dell’hash power in due catene…”
E poi ci sono domande più ampie, come quella posta da Jannes: “Perché qualcuno dovrebbe fidarsi di un sistema le cui regole fondamentali possono essere modificate da una maggioranza minore semplice? Che razza di garanzia “oro digitale” è questa?
Or tweet come questo che fa sì che gli utenti ansiosi si mordano le unghie ben curate: “Un minatore SV può persino uccidere legalmente una catena. Questo è il diritto dei minatori", un capo scienziato di nChain ha anche sottolineato l'importanza degli incentivi economici invece della cosiddetta matematica come vera carota affinché i minatori rimangano onesti. Non utilizzare la protezione replay come vero test della "maggioranza onesta" può essere positivo per il controllo della robustezza di una catena, ma può essere un momento di panico per gli utenti. Gli scienziati hanno citato anche altre minacce come attacchi velenosi, attacchi denial-of-service, attacchi di partizione della rete e exploit zero-day come importanti aree di preoccupazione.
Finora le acque sono calme, fatta eccezione per qualche tempesta in alcune tazze da tè. Come rassicura Sanjay Katkar, CTO di Quick Heal Technologies, “Gli aggiornamenti software non fanno altro che rendere la catena più sicura. Ciò che viene dopo è sempre più forte e meglio equipaggiato. Non vi è alcuna preoccupazione nemmeno durante la transizione, grazie al modo in cui è progettato il software. Il vecchio andrà avanti come al solito e il nuovo sarà più sicuro”. Tuttavia, afferma che la rinuncia degli sviluppatori può essere una sfida data la natura aperta e distribuita della blockchain. “Più sono gli sviluppatori, meglio è anche per la sicurezza.”
Tuttavia, non fa mai male prestare attenzione a ciò che è possibile ed essere preparati. L'intervento è finito. La creatura non ha grossi segni di allarme: nessun piede traballante, nessun rumore strano, nessuno strano rutto.
Forse se smettessimo di cercare i canarini scomparsi. Ma per i gatti che li hanno mangiati. O per i cani che non abbaiano.
