Agradecimentos especiais a Hudson Jameson, OfficerCIA e samczsun pelos comentários e revisões.

Na semana passada, circulou um artigo sobre uma empresa que perdeu 25 milhões de dólares quando um funcionário do departamento financeiro foi convencido a enviar uma transferência bancária para um burlão que se fazia passar pelo diretor financeiro... através do que parece ter sido uma chamada de vídeo muito convincente.

Deepfakes (ou seja. O áudio e o vídeo falsos gerados por IA estão a aparecer cada vez com mais frequência, tanto no espaço criptográfico como noutros locais. Nos últimos meses, os deepfakes de mim têm sido utilizados para publicitar todo o tipo de fraudes, bem como moedas de cão. A qualidade dos deepfakes está a melhorar rapidamente: enquanto os deepfakes de 2020 eram embaraçosamente óbvios e maus, os dos últimos meses estão a tornar-se cada vez mais difíceis de distinguir. Alguém que me conheça bem ainda pode identificar o vídeo recente em que eu faço xelins para uma moeda de cão como falso, porque me mostra a dizer "let'sf*inggo", quando eu só usei "LFG" para significar "looking for group", mas as pessoas que só ouviram a minha voz algumas vezes podem ser facilmente convencidas.

Os especialistas em segurança a quem mencionei o roubo de 25 milhões de dólares acima referido confirmam uniformemente que se tratou de uma falha excecional e embaraçosa da segurança operacional da empresa a vários níveis: a prática normal é exigir vários níveis de aprovação antes de uma transferência com uma dimensão próxima dessa poder ser aprovada. Mas, mesmo assim, o facto é que, a partir de 2024, um fluxo de áudio ou mesmo de vídeo de uma pessoa já não é uma forma segura de autenticar a sua identidade.

Isto levanta a questão: o que é?

Os métodos criptográficos por si só não são a resposta

Ser capaz de autenticar pessoas de forma segura é valioso para todos os tipos de pessoas em todos os tipos de situações: indivíduos que recuperam a sua recuperação social ou carteiras multisig, empresas que aprovam transacções comerciais, indivíduos que aprovam grandes transacções para uso pessoal (por exemplo, para investir numa startup, comprar uma casa, enviar remessas), seja com criptomoedas ou com moeda fiduciária, e até mesmo membros da família que precisam de se autenticar uns aos outros em situações de emergência. Por isso, é realmente importante ter uma boa solução que possa sobreviver à era vindoura de deepfakes relativamente fáceis.

Uma resposta a esta pergunta que ouço frequentemente nos círculos criptográficos é: "pode autenticar-se fornecendo uma assinatura criptográfica de um endereço anexado ao seu perfil ENS / prova de humanidade / chave PGP pública". Esta é uma resposta apelativa. No entanto, não se percebe por que razão é útil envolver outras pessoas na assinatura das transacções. Suponha que é um indivíduo com uma carteira pessoal multisig e que está a enviar uma transação que pretende que seja aprovada por alguns co-signatários. Em que circunstâncias o aprovariam? Se eles estiverem confiantes de que é você quem realmente quer que a transferência se concretize. Se for um hacker que roubou a sua chave, ou um raptor, não aprovariam. Num contexto empresarial, tem geralmente mais camadas de defesa; mas, mesmo assim, um atacante pode potencialmente fazer-se passar por um gestor não só para o pedido final, mas também para as fases anteriores do processo de aprovação. Podem até desviar um pedido legítimo em curso, fornecendo o endereço errado.

E assim, em muitos casos, o facto de os outros signatários aceitarem que você é você se assinar com a sua chave mata todo o objetivo: transforma todo o contrato num multisig 1-de-1, em que alguém só precisa de obter o controlo da sua única chave para roubar os fundos!

É aqui que chegamos a uma resposta que faz realmente algum sentido: perguntas de segurança.

Perguntas de segurança

Suponha que alguém lhe envia uma mensagem de texto afirmando ser uma determinada pessoa que é sua amiga. Estão a enviar mensagens de texto a partir de uma conta que nunca viu antes e afirmam ter perdido todos os seus dispositivos. Como é que determina se eles são quem dizem ser?

Há uma resposta óbvia: pergunte-lhes coisas que só eles saberiam sobre a sua vida. Estas devem ser coisas que:

1. Sabe que
2. Espera que eles se lembrem
3. A Internet não sabe
4. São difíceis de adivinhar
5. Idealmente, mesmo alguém que tenha pirateado bases de dados de empresas e governos não sabe

O mais natural é perguntar-lhe sobre experiências partilhadas. Alguns exemplos possíveis são:

• Quando nos vimos pela última vez, em que restaurante jantámos e que comida comeu?
• Qual dos nossos amigos fez essa piada sobre um político antigo? E qual foi o político?
• Qual foi o filme que viu recentemente e de que não gostou?
• Sugeriu na semana passada que eu conversasse com eles sobre a possibilidade de nos ajudarem na investigação?

Exemplo real de uma pergunta de segurança que alguém utilizou recentemente para me autenticar.

Quanto mais original for a sua pergunta, melhor. As perguntas que estão mesmo no limite, em que a pessoa tem de pensar durante alguns segundos e pode até esquecer-se da resposta, são boas: mas se a pessoa a quem está a perguntar afirma ter-se esquecido, certifique-se de que lhe faz mais três perguntas. Perguntar sobre pormenores "micro" (o que alguém gostava ou não gostava, piadas específicas, etc.) é muitas vezes melhor do que pormenores "macro", porque os primeiros são geralmente muito mais difíceis de desenterrar acidentalmente por terceiros (por exemplo. se uma única pessoa publicar uma fotografia do jantar no Instagram, os LLM modernos podem ser suficientemente rápidos para a apanhar e fornecer a localização em tempo real). Se a sua pergunta for potencialmente adivinhável (no sentido de que existem apenas algumas opções potenciais que fazem sentido), aumente a entropia adicionando outra pergunta.

Muitas vezes, as pessoas deixam de se envolver em práticas de segurança se estas forem aborrecidas e monótonas, por isso é saudável tornar as questões de segurança divertidas! Podem ser uma forma de recordar experiências positivas partilhadas. E podem ser um incentivo para que tenha essas experiências em primeiro lugar.

Complementos às perguntas de segurança

Nenhuma estratégia de segurança é perfeita e, por isso, é sempre melhor combinar várias técnicas.

• Palavras de código pré-acordadas: quando estiverem juntos, concordem intencionalmente numa palavra de código partilhada que possam utilizar mais tarde para se autenticarem mutuamente.
• Talvez até chegue a um acordo sobre uma chave de coação: uma palavra que pode inserir inocentemente numa frase e que, de forma discreta, indicará à outra parte que está a ser coagido ou ameaçado. Esta palavra deve ser suficientemente comum para que pareça natural quando a utiliza, mas suficientemente rara para que não a insira acidentalmente no seu discurso.
• Quando alguém lhe enviar um endereço ETH, peça-lhe que o confirme em vários canais (por exemplo. Sinal e DM do Twitter, no sítio Web da empresa, ou mesmo através de um conhecido mútuo)
• Proteja-se contra ataques do tipo "man-in-the-middle": Os "números de segurança" do Signal, os emojis do Telegram e outras funcionalidades semelhantes devem ser compreendidos e tidos em conta.
• Limites diários e atrasos: imponha simplesmente atrasos a acções altamente consequentes e irreversíveis. Isto pode ser feito quer ao nível da política (acordar previamente com os signatários que vão esperar N horas ou dias antes de assinar) quer ao nível do código (impor limites e atrasos no código do contrato inteligente)

Um potencial ataque sofisticado em que um atacante se faz passar por um executivo e um beneficiário em várias etapas de um processo de aprovação. As perguntas de segurança e os atrasos podem proteger-se contra isto; é provavelmente melhor utilizar ambos.

As perguntas de segurança são boas porque, ao contrário de muitas outras técnicas que falham porque não são fáceis de utilizar, as perguntas de segurança baseiam-se em informações que os seres humanos são naturalmente bons a recordar. Há anos que utilizo perguntas de segurança e é um hábito que, na verdade, parece muito natural e não estranho, e vale a pena incluí-lo no seu fluxo de trabalho - para além das suas outras camadas de proteção.

Note que as perguntas de segurança "de indivíduo para indivíduo", tal como descritas acima, são um caso de utilização muito diferente das perguntas de segurança "de empresa para indivíduo", como quando telefona ao seu banco para reativar o seu cartão de crédito depois de este ter sido desativado pela 17.ª vez após ter viajado para um país diferente e, depois de ultrapassar a fila de 40 minutos de música irritante, aparece um funcionário do banco e pergunta-lhe o seu nome, a sua data de nascimento e talvez as suas últimas três transacções. O tipo de perguntas para as quais um indivíduo sabe as respostas é muito diferente do tipo de perguntas para as quais uma empresa sabe as respostas. Por isso, vale a pena pensar nestes dois casos separadamente.

A situação de cada pessoa é única e, por isso, os tipos de informações partilhadas únicas que tem com as pessoas com quem poderá ter de se autenticar diferem de pessoa para pessoa. Geralmente, é melhor adaptar a técnica às pessoas e não as pessoas à técnica. Uma técnica não precisa de ser perfeita para funcionar: a abordagem ideal é juntar várias técnicas ao mesmo tempo e escolher as técnicas que funcionam melhor para si. Num mundo pós-deepfake, precisamos de adaptar as nossas estratégias à nova realidade do que é agora fácil de falsificar e do que continua a ser difícil de falsificar, mas enquanto o fizermos, mantermo-nos seguros continua a ser bastante possível.

Declaração de exoneração de responsabilidade：

1. Este artigo foi reimpresso de[Vitalik Buterin], Todos os direitos de autor pertencem ao autor original[Vitalik Buterin]. Se houver objecções a esta reimpressão, contacte a equipa da Gate Learn, que tratará prontamente do assunto.
2. Declaração de exoneração de responsabilidade: Os pontos de vista e opiniões expressos neste artigo são da exclusiva responsabilidade do autor e não constituem um conselho de investimento.
3. As traduções do artigo para outras línguas são efectuadas pela equipa Gate Learn. A menos que seja mencionado, é proibido copiar, distribuir ou plagiar os artigos traduzidos.