Задавайте вопросы по безопасности

Особая благодарность Хадсону Джеймсону, OfficerCIA и samczsun за отзывы и рецензии.

На прошлой неделе в сети появилась статья о компании, которая потеряла 25 миллионов долларов, когда финансового работника убедили отправить банковский перевод мошеннику, выдававшему себя за финансового директора... по очень убедительному, на первый взгляд, видеозвонку с глубокой подделкой.

Глубокие подделки (т.е. Поддельные аудио- и видеоматериалы, созданные искусственным интеллектом, все чаще появляются как в криптовалютном пространстве, так и в других местах. За последние несколько месяцев глубокие подделки меня использовались для рекламы всевозможных мошенничеств, а также монет для собак. Качество подделок быстро улучшается: если подделки 2020 года были позорно очевидными и плохими, то подделки последних нескольких месяцев становится все труднее отличить. Тот, кто хорошо меня знает, все еще может определить, что недавнее видео, где я продаю монету для собак, - подделка, потому что в нем я говорю "let'sf*inggo", тогда как я всегда использовал "LFG" только в значении "ищу группу", но люди, которые слышали мой голос всего несколько раз, могут легко в этом убедиться.

Эксперты по безопасности, которым я рассказывал о краже 25 миллионов долларов, единодушно подтверждают, что это был исключительный и позорный провал операционной безопасности предприятия на нескольких уровнях: стандартная практика требует нескольких уровней подписи, прежде чем может быть одобрен перевод, близкий к такому размеру. Но даже несмотря на это, факт остается фактом: в 2024 году аудио- или даже видеопоток человека больше не является надежным способом подтверждения его подлинности.

В связи с этим возникает вопрос: что же это такое?

Одни лишь криптографические методы - не выход

Возможность безопасно аутентифицировать людей ценна для всех типов людей в самых разных ситуациях: люди восстанавливают свои социальные кошельки или мультисиговые кошельки, предприятия утверждают бизнес-транзакции, люди утверждают крупные транзакции для личного использования (например, чтобы инвестировать в стартап, купить дом, отправить денежный перевод) как с криптовалютой, так и с фиатом, и даже члены семьи, которым нужно аутентифицировать друг друга в чрезвычайных ситуациях. Поэтому очень важно иметь хорошее решение, которое сможет пережить грядущую эру относительно легких подделок.

Один из ответов на этот вопрос, который я часто слышу в крипто-кругах, звучит следующим образом: "Вы можете аутентифицировать себя, предоставив криптографическую подпись с адреса, прикрепленного к Вашему ENS / профилю доказательства человечности / публичному PGP-ключу". Это привлекательный ответ. Однако это совершенно упускает из виду, почему привлечение других людей для подписания сделок полезно в первую очередь. Предположим, что Вы - частное лицо с личным кошельком multisig, и Вы отправляете транзакцию, которую должны одобрить несколько соподписателей. При каких обстоятельствах они бы одобрили это? Если они уверены, что именно Вы действительно хотите, чтобы перевод состоялся. Если это хакер, укравший Ваш ключ, или похититель, они этого не одобрят. В корпоративном контексте у Вас, как правило, больше уровней защиты; но даже в этом случае злоумышленник может выдать себя за менеджера не только для окончательного запроса, но и для более ранних этапов процесса утверждения. Они могут даже перехватить законный выполняемый запрос, указав неверный адрес.

И поэтому во многих случаях согласие других подписантов с тем, что Вы - это Вы, если Вы подписываетесь своим ключом, убивает весь смысл: это превращает весь контракт в мультисигму 1-оф-1, где кому-то нужно только завладеть Вашим единственным ключом, чтобы украсть средства!

Именно здесь мы переходим к одному ответу, который действительно имеет смысл: вопросы безопасности.

Вопросы безопасности

Предположим, что кто-то написал Вам сообщение, выдавая себя за определенного человека, который является Вашим другом. Они пишут СМС с аккаунта, который Вы никогда раньше не видели, и утверждают, что потеряли все свои устройства. Как определить, что они те, за кого себя выдают?

Есть очевидный ответ: спросите их о том, что только они могут знать о своей жизни. Это должны быть вещи, которые:

1. Вы знаете
2. Вы ожидаете, что они будут помнить.
3. Интернет не знает.
4. Их трудно угадать
5. В идеале, даже тот, кто взламывал корпоративные и правительственные базы данных, не знает.

Естественнее всего спросить их о совместном опыте. Возможные примеры включают:

• Когда мы виделись в последний раз, в каком ресторане мы ужинали, и какие блюда были у Вас?
• Кто из наших друзей пошутил о древнем политическом деятеле? И кто из политиков это был?
• Какой фильм, который мы недавно смотрели, Вам не понравился?
• На прошлой неделе Вы предложили мне поговорить с ними о том, чтобы они помогли нам с исследованиями?

Реальный пример вопроса безопасности, который кто-то недавно использовал для моей аутентификации.

Чем более уникальным будет Ваш вопрос, тем лучше. Вопросы, которые находятся на грани, когда человеку приходится задуматься на несколько секунд и он может даже забыть ответ, хороши: но если человек, которого Вы спрашиваете, утверждает, что забыл, обязательно задайте ему еще три вопроса. Спрашивать о "микро" деталях (что кому-то нравится или не нравится, конкретные шутки и т.д.) часто лучше, чем о "макро" деталях, потому что первые, как правило, гораздо сложнее случайно раскопать третьим лицам (например. Если хотя бы один человек выложит фотографию ужина в Instagram, современные LLM вполне могут быть достаточно быстрыми, чтобы уловить это и указать местоположение в режиме реального времени). Если Ваш вопрос потенциально угадываемый (в том смысле, что существует всего несколько возможных вариантов, которые имеют смысл), увеличьте энтропию, добавив еще один вопрос.

Люди часто перестают заниматься вопросами безопасности, если они скучны и занудны, поэтому полезно сделать вопросы безопасности веселыми! Они могут стать способом запомнить положительный совместный опыт. И они могут стать стимулом для того, чтобы получить этот опыт в первую очередь.

Дополнения к вопросам безопасности

Ни одна стратегия безопасности не является идеальной, поэтому всегда лучше объединить несколько методов.

• Заранее оговоренные кодовые слова: когда Вы вместе, намеренно договоритесь об общем кодовом слове, которое Вы сможете впоследствии использовать для подтверждения подлинности друг друга.
• Возможно, даже договоритесь о ключе принуждения: слово, которое Вы можете невинно вставить в предложение и которое спокойно даст понять другой стороне, что Вас принуждают или угрожают. Это слово должно быть достаточно распространенным, чтобы Вы чувствовали себя естественно, когда используете его, но достаточно редким, чтобы Вы случайно не вставили его в свою речь.
• Когда кто-то отправляет Вам ETH-адрес, попросите его подтвердить его по нескольким каналам (например. Signal и Twitter DM, на сайте компании или даже через общих знакомых)
• Защититесь от атак типа "человек посередине": Сигнальные "номера безопасности", эмодзи Telegram и другие подобные функции - все это нужно понимать и остерегаться.
• Ежедневные ограничения и отсрочки: просто установите отсрочки на действия, имеющие большие последствия и необратимые последствия. Это можно сделать либо на уровне политики (предварительно договорившись с подписывающими, что они будут ждать N часов или дней перед подписанием), либо на уровне кода (установив ограничения и задержки в коде смарт-контракта).

Потенциальная сложная атака, в ходе которой злоумышленник выдает себя за руководителя и получателя гранта на нескольких этапах процесса утверждения. Защитные вопросы и задержки могут защитить от этого; вероятно, лучше использовать и то, и другое.

Вопросы безопасности хороши тем, что, в отличие от многих других методов, которые не работают, потому что они не удобны для человека, вопросы безопасности основаны на информации, которую люди от природы хорошо запоминают. Я использую секретные вопросы уже много лет, и это привычка, которая на самом деле кажется очень естественной и неловкой, и ее стоит включить в свой рабочий процесс - в дополнение к другим уровням защиты.

Обратите внимание, что вопросы безопасности "от человека к человеку", как описано выше, сильно отличаются от вопросов безопасности "от предприятия к человеку", например, когда Вы звоните в свой банк, чтобы снова активировать свою кредитную карту после того, как она была деактивирована в 17-й раз после поездки в другую страну, и как только Вы преодолеваете 40-минутную очередь под раздражающую музыку, появляется сотрудник банка и спрашивает Ваше имя, день рождения и, возможно, три последние операции. Вопросы, на которые знает ответы отдельный человек, сильно отличаются от вопросов, на которые знает ответы предприятие. Поэтому стоит подумать об этих двух случаях отдельно.

Ситуация каждого человека уникальна, и поэтому виды уникальной общей информации, которой Вы располагаете с людьми, с которыми Вам может понадобиться аутентификация, отличаются для разных людей. Как правило, лучше приспособить технику к людям, а не людей к технике. Чтобы техника работала, она не обязательно должна быть совершенной: идеальный подход - складывать несколько техник одновременно и выбирать те, которые работают лучше всего для Вас. В мире после "глубоких подделок" нам действительно нужно адаптировать наши стратегии к новой реальности того, что теперь легко подделать, а что по-прежнему трудно, но пока мы это делаем, оставаться в безопасности вполне возможно.

Отказ от ответственности：

1. Эта статья перепечатана из[Виталик Бутерин], Все авторские права принадлежат автору оригинала[Виталик Бутерин]. Если у Вас есть возражения против этой перепечатки, пожалуйста, свяжитесь с командой Gate Learn, и они незамедлительно рассмотрят их.
2. Отказ от ответственности: Мнения и взгляды, выраженные в этой статье, принадлежат исключительно автору и не являются инвестиционным советом.
3. Перевод статьи на другие языки осуществляется командой Gate Learn. Если не указано, копирование, распространение или плагиат переведенных статей запрещены.