區(qū)塊鏈也有安全漏洞 三大攻擊維度了解一下

責(zé)任編輯:zsheng

2018-12-26 13:43:36

摘自:快資訊

雖然區(qū)塊鏈技術(shù)自帶加密光環(huán),并具分布式特性,外在表現(xiàn)為分散的、去中心化的,然而事實(shí)上其并非如之前所描述的無(wú)人可篡改。由于技術(shù)應(yīng)用、平臺(tái)防護(hù)等原因,現(xiàn)階段的區(qū)塊鏈應(yīng)用正在面臨著攻擊者的威脅。

雖然區(qū)塊鏈技術(shù)自帶加密光環(huán),并具分布式特性,外在表現(xiàn)為分散的、去中心化的,然而事實(shí)上其并非如之前所描述的無(wú)人可篡改。由于技術(shù)應(yīng)用、平臺(tái)防護(hù)等原因,現(xiàn)階段的區(qū)塊鏈應(yīng)用正在面臨著攻擊者的威脅。

對(duì),區(qū)塊鏈也不安全了。雖然區(qū)塊鏈技術(shù)自帶加密光環(huán),并具分布式特性,外在表現(xiàn)為分散的、去中心化的,然而事實(shí)上其并非如之前所描述的無(wú)人可篡改。由于技術(shù)應(yīng)用、平臺(tái)防護(hù)等原因,現(xiàn)階段的區(qū)塊鏈應(yīng)用正在面臨著攻擊者的威脅。

1. 針對(duì)協(xié)議的攻擊

區(qū)塊鏈,一個(gè)可理解為不斷增長(zhǎng)的存證與記錄的"帳本鏈條",由記錄的各個(gè)區(qū)塊所連接,而這些區(qū)塊則使用密碼學(xué)進(jìn)行相連和保護(hù)。憑借區(qū)塊鏈的分布式特性,加密的"帳本"數(shù)據(jù)需由網(wǎng)絡(luò)中的所有節(jié)點(diǎn)共享和驗(yàn)證,以確保其唯一性。

其運(yùn)作模式為,所有參與節(jié)點(diǎn)需針對(duì)共同賬本上的每一筆交易進(jìn)行分布式記賬。當(dāng)交易發(fā)生后,信息會(huì)通知到所有節(jié)點(diǎn),而各個(gè)節(jié)點(diǎn)要按照預(yù)設(shè)的規(guī)則獨(dú)立地對(duì)交易進(jìn)行確認(rèn)。在這個(gè)過(guò)程中,信息是透明統(tǒng)一的,參與者資格權(quán)限完全對(duì)等。一筆交易確認(rèn)后,交易記錄和數(shù)據(jù)就形成一個(gè)區(qū)塊,加上時(shí)間戳后編入鏈條,然后啟動(dòng)下一輪交易(塊),而這些區(qū)塊以時(shí)間順序連接為"鏈"。在此基礎(chǔ)上,只要參與節(jié)點(diǎn)數(shù)量足夠多,"數(shù)據(jù)鏈條"上的篡改似乎的不可能的。

然而事實(shí)上,攻擊者一旦擁有了大多數(shù)節(jié)點(diǎn),其就可隨意創(chuàng)建自己的區(qū)塊,對(duì)鏈條進(jìn)行篡改,而該區(qū)塊鏈的安全性便不攻自破了,這就是著名的"51%攻擊"或"大多數(shù)攻擊"。這在一個(gè)區(qū)塊鏈項(xiàng)目剛剛啟動(dòng)時(shí)威脅尤為突出,因?yàn)槟菚r(shí)的節(jié)點(diǎn)總數(shù)往往很少,一旦節(jié)點(diǎn)擁有者形成共謀,這樣的攻擊即可實(shí)現(xiàn)。

不僅如此,區(qū)塊鏈協(xié)議、智能合約機(jī)制、節(jié)點(diǎn)設(shè)備漏洞等安全缺陷,都是涉足其上的企業(yè)必須要面對(duì)解決的,不然的話,遭受巨大的經(jīng)濟(jì)損失就可能是分分鐘的事情了。

2. 針對(duì)用戶的攻擊

除了上述區(qū)塊鏈協(xié)議、節(jié)點(diǎn)上的漏洞外,用戶也是區(qū)塊鏈里的一大薄弱環(huán)節(jié)。傳統(tǒng)的網(wǎng)絡(luò)釣魚(yú)、惡意軟件、字典攻擊等,往往都十分奏效,亦會(huì)讓用戶喪失掉控制權(quán)。

此外,近期更有安全人員發(fā)現(xiàn)一種被稱為ComboJack的木馬程序,能夠隨時(shí)監(jiān)控Windows的剪貼簿。用戶主機(jī)一旦被植入該木馬,其上存有的比特幣或以太幣地址便會(huì)被發(fā)現(xiàn),即使是一個(gè)小小的復(fù)制粘貼行為。而攻擊者在此后便可以通過(guò)該木馬將這些地址篡改為他們自己的錢(qián)包地址。當(dāng)用戶復(fù)制被篡改后的地址來(lái)傳送加密貨幣時(shí),即會(huì)遭受攔截。

由于加密貨幣的錢(qián)包地址是由復(fù)雜的數(shù)字與字母字串所組成,很少人會(huì)背下自己的錢(qián)包地址,多半是在需要時(shí)先復(fù)制它,再粘貼到正在使用的應(yīng)用程序中。而這些被復(fù)制的錢(qián)包地址則會(huì)短暫地保存到剪貼簿中,上述木馬則能夠持續(xù)地監(jiān)控剪貼簿上的內(nèi)容。

僅6月上旬就已有30萬(wàn)臺(tái)PC受到該木馬感染,而這些木馬最多監(jiān)控40萬(wàn)~60萬(wàn)的加密貨幣錢(qián)包地址。不過(guò)近日出現(xiàn)的新變種則能將監(jiān)控地址的數(shù)量擴(kuò)大到230萬(wàn),威脅進(jìn)一步擴(kuò)大。

3. 針對(duì)平臺(tái)的攻擊

隨著加密貨幣的熱炒,針對(duì)交易平臺(tái)的攻擊變得日益明顯。近期,安全人員發(fā)現(xiàn)了EOS平臺(tái)上的一系列高危安全漏洞。經(jīng)驗(yàn)證,其中部分漏洞可以在EOS節(jié)點(diǎn)上遠(yuǎn)程執(zhí)行任意代碼,即可以通過(guò)遠(yuǎn)程攻擊,直接控制和接管EOS上運(yùn)行的所有節(jié)點(diǎn)。

據(jù)悉,該漏洞令EOS區(qū)塊鏈系統(tǒng)在解析WASM文件時(shí),會(huì)出現(xiàn)緩沖區(qū)溢出的問(wèn)題,而攻擊者將能夠利用這個(gè)緩沖區(qū)溢出漏洞實(shí)施攻擊。在該漏洞的幫助下,攻擊者將能夠向EOS節(jié)點(diǎn)服務(wù)器上傳惡意智能合約,當(dāng)節(jié)點(diǎn)服務(wù)器完成對(duì)智能合約的解析之后,惡意Payload將會(huì)在服務(wù)器中執(zhí)行,并完成遠(yuǎn)程接管。成功接管遠(yuǎn)程節(jié)點(diǎn)服務(wù)器之后,攻擊者將能夠把惡意智能合約封裝到新的區(qū)塊中,并進(jìn)一步控制整個(gè)EOS網(wǎng)絡(luò)。

近年來(lái),以平臺(tái)為目標(biāo)的攻擊事件不斷爆發(fā),已成主要的威脅之一。例如,著名的Mt.Gox攻擊事件,導(dǎo)致2011年至2014年期間先后有價(jià)值4.5億美金的比特幣被盜,結(jié)果導(dǎo)致公司被清盤(pán)并關(guān)閉。而現(xiàn)在關(guān)于交易平臺(tái)受襲的新聞仍不絕于耳,亦突出了其威脅性。

顯而易見(jiàn)的是,面對(duì)上述三大維度的區(qū)塊鏈攻擊,除了一般用戶難以察覺(jué)的技術(shù)復(fù)雜度及安全漏洞外,來(lái)自用戶設(shè)備甚至是交易平臺(tái)上的隱患都是挑戰(zhàn)區(qū)塊鏈技術(shù)安全應(yīng)用的主要威脅,必須引發(fā)高度關(guān)注才行。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)