Особлива подяка Хадсону Джеймсону, OfficerCIA та samczsun за відгуки та рецензії.

Минулого тижня з'явилася стаття про компанію, яка втратила 25 мільйонів доларів, коли її фінансового працівника переконали надіслати банківський переказ шахраю, який видавав себе за фінансового директора... за допомогою дуже переконливої підробленої відеодзвінка.

Діпфейки (тобто. Згенеровані штучним інтелектом фейкові аудіо та відео) з'являються дедалі частіше як у криптопросторі, так і в інших місцях. За останні кілька місяців мене використовували для реклами всіляких шахрайських схем, а також собачих монет. Якість фейків стрімко зростає: якщо фейки 2020 року були ганебно очевидними і поганими, то фейки останніх кількох місяців стає дедалі складніше відрізнити від справжніх. Той, хто добре мене знає, все ще може впізнати нещодавнє відео, де я даю монету собаці, як фальшивку, бо я кажу "давай, бляха, поїхали", тоді як я завжди використовував "LFG" лише в значенні "шукаю групу", але люди, які чули мій голос лише кілька разів, можуть легко переконатися в цьому.

Експерти з безпеки, яким я розповідав про вищезгадану крадіжку 25 мільйонів доларів, одностайно підтверджують, що це був винятковий і прикрий провал операційної безпеки підприємства на багатьох рівнях: стандартна практика вимагає декількох рівнів затвердження перед тим, як переказ на суму, близьку до цієї, може бути затверджений. Але все одно факт залишається фактом: станом на 2024 рік аудіо- чи навіть відеопотік людини більше не є надійним способом ідентифікації її особи.

У зв'язку з цим виникає питання: що це таке?

Самі по собі криптографічні методи не є відповіддю

Можливість безпечної автентифікації людей важлива для всіх типів людей у всіх ситуаціях: особи, які відновлюють свої соціальні гаманці або гаманці з декількома підписами, підприємства, які затверджують бізнес-транзакції, особи, які затверджують великі транзакції для особистого використання (наприклад, інвестують у стартап, купують будинок, надсилають грошові перекази) як з криптовалютою, так і з фіатною валютою, і навіть члени сім'ї, яким потрібно автентифікувати один одного в надзвичайних ситуаціях. Тому дуже важливо мати хороше рішення, яке зможе пережити прийдешню епоху відносно легких глибоких фейків.

Одна з відповідей на це питання, яку я часто чую в криптографічних колах, така: "ви можете автентифікувати себе, надавши криптографічний підпис з адреси, прикріпленої до вашого ENS / профілю підтвердження особи / публічного ключа PGP". Це приваблива відповідь. Однак він повністю втрачає сенс того, чому залучення інших людей до підписання транзакцій є корисним в першу чергу. Уявімо, що ви - фізична особа з особистим гаманцем з мультипідписом, і ви відправляєте транзакцію, яку хочете, щоб кілька співпідписантів схвалили. За яких обставин вони могли б це схвалити? Якщо вони впевнені, що саме ви хочете, щоб переказ відбувся. Якщо це хакер, який вкрав ваш ключ, або викрадач, вони не схвалять. У контексті підприємства ви зазвичай маєте більше рівнів захисту, але навіть у цьому випадку зловмисник може видати себе за керівника не лише для остаточного запиту, але й для більш ранніх етапів процесу узгодження. Вони можуть навіть викрасти законний запит, що перебуває в процесі виконання, вказавши неправильну адресу.

І тому в багатьох випадках, коли інші підписанти погоджуються, що ви - це ви, якщо ви підписуєте своїм ключем, це вбиває весь сенс: це перетворює весь контракт на мультипідпис 1 з 1, де комусь потрібно лише захопити контроль над вашим єдиним ключем, щоб вкрасти кошти!

Тут ми підходимо до єдиної відповіді, яка дійсно має сенс: питання безпеки.

Питання безпеки

Уявімо, що хтось пише вам повідомлення, стверджуючи, що він є вашим другом. Вони пишуть з акаунта, якого ви ніколи раніше не бачили, і стверджують, що втратили всі свої пристрої. Як ви визначаєте, чи є вони тими, за кого себе видають?

Відповідь очевидна: запитуйте їх про те, що тільки вони можуть знати про своє життя. Це мають бути речі, які:

1. Знаєш.
2. Ви очікуєте, що вони запам'ятають
3. Інтернет не знає
4. Важко здогадатися
5. В ідеалі, навіть той, хто зламував корпоративні та урядові бази даних, не знає про це.

Природно запитати їх про спільний досвід. Можливі приклади включають

• Коли ми востаннє бачилися, в якому ресторані ми вечеряли, і яку їжу ви замовляли?
• Хто з наших друзів пожартував про античного політика? І який це був політик?
• Який фільм з тих, що ми нещодавно дивилися, вам не сподобався?
• Минулого тижня ви запропонували мені поговорити з ними про можливість їхньої допомоги в дослідженнях?

Реальний приклад питання безпеки, яке нещодавно хтось використав для моєї автентифікації.

Чим унікальніше ваше запитання, тим краще. Питання, які знаходяться на межі, коли людині доводиться думати кілька секунд і вона може навіть забути відповідь, - це добре, але якщо співрозмовник стверджує, що забув, не забудьте поставити йому ще три запитання. Запитувати про "мікро" деталі (що комусь сподобалося чи не сподобалося, конкретні жарти тощо) часто краще, ніж про "макро", тому що перші зазвичай набагато складніше випадково відкопати третім особам (наприклад, у випадку, якщо вони не знають, що саме). якщо навіть одна людина виклала фотографію вечері в Instagram, сучасні LLM можуть бути досить швидкими, щоб вловити це і вказати місце розташування в режимі реального часу). Якщо ваше запитання є потенційно вгадуваним (в тому сенсі, що є лише кілька потенційних варіантів, які мають сенс), збільште ентропію, додавши ще одне запитання.

Люди часто припиняють займатися безпекою, якщо вона є нудною і нудною, тому корисно робити питання безпеки цікавими! Вони можуть бути способом запам'ятати позитивний спільний досвід. І вони можуть бути стимулом для того, щоб отримати цей досвід в першу чергу.

Доповнення до запитань безпеки

Жодна стратегія безпеки не є ідеальною, тому завжди краще поєднувати кілька методів.

• Заздалегідь узгоджені кодові слова: коли ви разом, навмисно домовтеся про спільне кодове слово, яке згодом ви зможете використовувати для автентифікації один одного.
• Можливо, навіть домовитися про ключ примусу: слово, яке ви можете невинно вставити в речення, яке тихо сигналізуватиме іншій стороні про те, що вас примушують або погрожують. Це слово має бути достатньо поширеним, щоб ви почувалися природно, коли його вживаєте, але достатньо рідкісним, щоб ви не могли випадково вставити його у свою промову.
• Коли хтось надсилає вам ETH-адресу, попросіть його підтвердити її на декількох каналах (наприклад Signal і Twitter DM, на сайті компанії або навіть через спільного знайомого)
• Захистіться від атак "людини посередині": Сигнальні "номери безпеки", емодзі в Telegram та подібні функції - все це варто розуміти і бути обережними.
• Щоденні ліміти та затримки: просто встановлюйте затримки на дуже важливі та незворотні дії. Це можна зробити або на рівні політики (заздалегідь домовитися з підписантами, що вони будуть чекати N годин або днів перед підписанням), або на рівні коду (встановити обмеження і затримки в коді смарт-контракту)

Потенційно складна атака, коли зловмисник видає себе за керівника та грантоотримувача на кількох етапах процесу затвердження. Питання безпеки та затримки можуть захистити від цього; ймовірно, краще використовувати і те, і інше.

Запитання безпеки хороші тим, що, на відміну від багатьох інших методів, які не спрацьовують, тому що вони не є дружніми до людини, запитання безпеки базуються на інформації, яку люди від природи добре запам'ятовують. Я використовую захисні питання протягом багатьох років, і це звичка, яка насправді відчувається дуже природно і не є незручною, і яку варто включити у свій робочий процес - на додаток до інших рівнів захисту.

Зауважте, що описані вище безпекові питання "від фізичної особи до фізичної особи" дуже відрізняються від безпекових питань "від підприємства до фізичної особи", наприклад, коли ви телефонуєте в банк, щоб активувати свою кредитну картку після того, як вона була деактивована в 17-й раз після поїздки в іншу країну, і як тільки ви пройшли 40-хвилинну чергу під набридливу музику, з'являється співробітник банку і запитує ваше ім'я, дату народження і, можливо, три останні транзакції. Питання, на які знає відповіді окрема людина, дуже відрізняються від питань, на які знає відповіді підприємство. Тому варто подумати про ці два випадки окремо.

Ситуація кожної людини є унікальною, і тому види унікальної спільної інформації, якою ви володієте з людьми, з якими вам може знадобитися автентифікація, відрізняються для різних людей. Загалом, краще пристосовувати техніку до людей, а не людей до техніки. Техніка не обов'язково має бути досконалою, щоб працювати: ідеальний підхід - це комбінувати кілька технік одночасно і вибирати ті, які найкраще підходять саме вам. У світі, що переживає період після депфейків, нам потрібно адаптувати наші стратегії до нової реальності, в якій підробити те, що зараз легко, а що важко, але поки ми це робимо, залишатися в безпеці цілком можливо.

Відмова від відповідальності:.

1. Ця стаття передрукована з[Vitalik Buterin], всі авторські права належать оригінальному автору[Vitalik Buterin]. Якщо у вас є заперечення щодо цього передруку, будь ласка, зв'яжіться з командою Gate Learn, і вони оперативно його опрацюють.
2. Відмова від відповідальності: Погляди та думки, висловлені в цій статті, належать виключно автору і не є інвестиційною порадою.
3. Переклади статті іншими мовами виконані командою Gate Learn. Якщо не зазначено інше, копіювання, розповсюдження або плагіат перекладених статей заборонені.