Posez des questions de sécurité

Merci tout particulièrement à Hudson Jameson, OfficeRCIA et Samczsun pour leurs commentaires et leurs critiques.

La semaine dernière, un article a circulé sur une entreprise qui a perdu 25 millions de dollars lorsqu'un agent financier a été convaincu d'envoyer un virement bancaire à un escroc se faisant passer pour le directeur financier... à la suite de ce qui semble être un appel vidéo truqué très convaincant.

Deepfakes (ie. De faux sons et vidéos générés par l'IA apparaissent de plus en plus souvent, à la fois dans l'espace cryptographique et ailleurs. Ces derniers mois, des deepfakes ont été utilisés pour faire de la publicité pour toutes sortes d'escroqueries, ainsi que pour des pièces pour chiens. La qualité des deepfakes s'améliore rapidement : alors que les deepfakes de 2020 étaient étonnamment évidents et mauvais, ceux des derniers mois sont de plus en plus difficiles à distinguer. Quelqu'un qui me connaît bien pourrait encore identifier la récente vidéo où je suis en train de vendre une pièce de shillings à un chien comme étant une fausse parce queje dis « allons-y » alors que je n'ai utilisé « LFG » que pour signifier « je cherche un groupe », mais les personnes qui n'ont entendu ma voix que quelques fois pourraient facilement être convaincues.

Les experts en sécurité à qui j'ai parlé du vol de 25 millions de dollars ci-dessus confirment unanimement qu'il s'agit d'un échec exceptionnel et embarrassant en matière de sécurité opérationnelle de l'entreprise à de nombreux niveaux : la pratique courante consiste à exiger plusieurs niveaux d'approbation avant qu'un transfert d'une taille proche de ce montant puisse être approuvé. Mais il n'en demeure pas moins qu'à partir de 2024, le flux audio ou même vidéo d'une personne ne constitue plus un moyen sûr de s'authentifier.

Cela soulève la question suivante : qu'est-ce que c'est ?

Les méthodes cryptographiques ne sont pas la solution à elles seules

La possibilité d'authentifier des personnes en toute sécurité est précieuse pour toutes sortes de personnes et dans toutes sortes de situations : personnes retrouvant leur portefeuille social ou multisig, entreprises approuvant des transactions commerciales, particuliers approuvant des transactions importantes pour leur usage personnel (par exemple pour investir dans une start-up, acheter une maison, envoyer des fonds), que ce soit en cryptomonnaie ou en monnaie fiduciaire, et même les membres de la famille qui doivent s'authentifier mutuellement en cas d'urgence. Il est donc très important de disposer d'une bonne solution capable de survivre à l'ère à venir des deepfakes relativement faciles.

L'une des réponses à cette question que j'entends souvent dans le monde de la cryptographie est la suivante : « vous pouvez vous authentifier en fournissant une signature cryptographique à partir d'une adresse associée à votre ENS, à votre profil de preuve d'humanité ou à une clé PGP publique ». C'est une réponse séduisante. Cependant, cela ne comprend absolument pas pourquoi il est utile d'impliquer d'autres personnes lors de la signature des transactions. Supposons que vous possédiez un portefeuille multisignature personnel et que vous envoyiez une transaction que vous voulez que certains cosignataires approuvent. Dans quelles circonstances l'approuveraient-ils ? S'ils sont sûrs que c'est vous qui voulez vraiment que le transfert ait lieu. Si c'est un hacker qui a volé votre clé, ou un kidnappeur, ils n'approuveraient pas. Dans le contexte d'une entreprise, vous disposez généralement de plusieurs niveaux de défense ; mais malgré tout, un attaquant peut se faire passer pour un responsable, non seulement pour la demande finale, mais aussi pour les premières étapes du processus d'approbation. Ils peuvent même pirater une demande légitime en cours en fournissant la mauvaise adresse.

Ainsi, dans de nombreux cas, le fait que les autres signataires acceptent que vous êtes vous si vous signez avec votre clé, c'est tout : cela transforme l'ensemble du contrat en une multisignature individuelle où quelqu'un n'a qu'à prendre le contrôle de votre clé unique pour voler l'argent !

C'est là que nous arrivons à une réponse qui prend tout son sens : des questions de sécurité.

Questions de sécurité

Supposons que quelqu'un vous envoie un texto en prétendant être une personne en particulier qui est votre amie. Ils envoient des textos depuis un compte que vous n'avez jamais vu auparavant, et ils prétendent avoir perdu tous leurs appareils. Comment déterminez-vous s'ils sont bien ceux qu'ils prétendent être ?

La réponse est évidente : demandez-leur des choses qu'ils sont les seuls à savoir sur leur vie. Ce devraient être des choses qui :

1. Vous savez
2. Vous vous attendez à ce qu'ils s'en souviennent
3. Internet ne le sait pas
4. Difficile à deviner
5. Idéalement, même quelqu'un qui a piraté des bases de données d'entreprises et gouvernementales ne le sait pas

Il est naturel de les interroger sur leurs expériences partagées. Parmi les exemples possibles, citons :

• La dernière fois que nous nous sommes vus, dans quel restaurant avons-nous dîné et quel plat avez-vous mangé ?
• Lequel de nos amis a fait cette blague à propos d'un ancien politicien ? Et de quel politicien s'agissait-il ?
• Quel est le film que nous avons vu récemment et que vous n'avez pas aimé ?
• La semaine dernière, vous m'avez suggéré de discuter avec eux de la possibilité qu'ils nous aident dans nos recherches ?

Exemple concret d'une question de sécurité que quelqu'un a récemment utilisée pour m'authentifier.

Plus votre question est unique, mieux c'est. Les questions qui vont droit au but et qui obligent quelqu'un à réfléchir pendant quelques secondes avant d'oublier la réponse sont une bonne chose : mais si la personne que vous posez prétend l'avoir oubliée, assurez-vous de lui poser trois questions supplémentaires. Il vaut souvent mieux demander des informations « micro » (ce que quelqu'un a aimé ou n'a pas aimé, des blagues spécifiques, etc.) plutôt que des informations « macroéconomiques », car les premières sont généralement beaucoup plus difficiles à trouver accidentellement pour des tiers (par ex. si ne serait-ce qu'une seule personne publiait une photo du dîner sur Instagram, les LLM modernes pourraient bien être assez rapides pour la prendre et indiquer le lieu en temps réel). Si votre question est potentiellement devinable (en ce sens qu'il n'y a que quelques options possibles qui ont du sens), augmentez l'entropie en ajoutant une autre question.

Les gens arrêtent souvent de prendre des mesures de sécurité si elles sont ennuyeuses. C'est donc une bonne idée de poser des questions de sécurité amusantes ! Ils peuvent être un moyen de se remémorer des expériences positives partagées. Et ils peuvent être une incitation à vivre ces expériences dès le départ.

Compléments aux questions de sécurité

Aucune stratégie de sécurité n'est parfaite. Il est donc toujours préférable de combiner plusieurs techniques.

• Mots de code prédéfinis : lorsque vous êtes ensemble, convenez intentionnellement d'un mot de code partagé que vous pourrez utiliser ultérieurement pour vous authentifier mutuellement.
• Peut-être même d'accord sur une clé de contrainte : un mot que vous pouvez insérer innocemment dans une phrase pour indiquer discrètement à l'autre partie que vous êtes contrainte ou menacée. Ce mot doit être suffisamment courant pour que vous puissiez l'utiliser naturellement, mais suffisamment rare pour que vous ne l'insériez pas accidentellement dans votre discours.
• Lorsque quelqu'un vous envoie une adresse ETH, demandez-lui de la confirmer sur plusieurs canaux (par exemple Signal et Twitter (DM), sur le site web de l'entreprise, ou même par le biais d'une connaissance commune)
• Protégez-vous contre les attaques de l'homme du milieu : les « numéros de sécurité » des signaux, les emojis Telegram et autres fonctionnalités similaires sont tous bons à comprendre et à surveiller.
• Limites et retards quotidiens : il suffit d'imposer des retards à des actions irréversibles et très importantes. Cela peut se faire soit au niveau des politiques (convenez avec les signataires qu'ils attendront N heures ou jours avant de signer) soit au niveau du code (imposer des limites et des délais dans le code du contrat intelligent)

Une attaque sophistiquée potentielle dans laquelle un attaquant se fait passer pour un cadre et un bénéficiaire à plusieurs étapes du processus d'approbation. Les questions de sécurité et les retards peuvent tous deux éviter cela ; il vaut probablement mieux utiliser les deux.

Les questions de sécurité sont intéressantes car, contrairement à tant d'autres techniques qui échouent parce qu'elles ne sont pas adaptées à l'homme, les questions de sécurité reposent sur des informations dont les êtres humains sont naturellement doués pour se souvenir. J'utilise les questions de sécurité depuis des années, et c'est une habitude qui semble très naturelle et qui vaut la peine d'être incluse dans votre flux de travail, en plus de vos autres niveaux de protection.

Notez que les questions de sécurité « individuelles » décrites ci-dessus constituent un cas d'utilisation très différent des questions de sécurité « d'entreprise à personne », par exemple lorsque vous appelez votre banque pour réactiver votre carte de crédit après sa 17e désactivation après un voyage dans un autre pays, et une fois que vous avez dépassé les 40 minutes de musique agaçante, un employé de banque apparaît et vous demande votre nom, votre date de naissance et peut-être vos trois dernières transactions. Les types de questions auxquelles un individu connaît les réponses sont très différents de ceux auxquels une entreprise connaît les réponses. Il vaut donc la peine de réfléchir à ces deux affaires séparément.

La situation de chaque personne étant unique, le type d'informations que vous partagez avec les personnes auprès desquelles vous pourriez avoir besoin de vous authentifier varie d'une personne à l'autre. Il est généralement préférable d'adapter la technique aux personnes, et non les personnes à la technique. Une technique n'a pas besoin d'être parfaite pour fonctionner : l'approche idéale consiste à combiner plusieurs techniques en même temps, et à choisir celle qui vous convient le mieux. Dans un monde post-deepfake, nous devons adapter nos stratégies à la nouvelle réalité de ce qui est désormais facile à falsifier et de ce qui reste difficile à falsifier, mais tant que nous le ferons, il sera tout à fait possible de rester en sécurité.

Avertissement：

1. Cet article est repris de [Vitalik Buterin]. Tous les droits d'auteur appartiennent à l'auteur original [Vitalik Buterin]. En cas d'objection à cette réimpression, contactez l'équipe de Gate Learn, elle s'en occupera rapidement.
2. Avertissement en matière de responsabilité : Les points de vue et opinions exprimés dans cet article sont uniquement ceux de l'auteur et ne constituent en aucun cas un conseil d'investissement.
3. Les traductions de l'article dans d'autres langues sont effectuées par l'équipe de Gate Learn. Sauf mention contraire, il est interdit de copier, de distribuer ou de plagier les articles traduits.