ما هي المفاتيح الضعيفة؟
المفاتيح الضعيفة هي مفاتيح التشفير التي من السهل سرقتها أو تخمينها أو كشفها بسبب تخزين سيئ أو عشوائية ضعيفة أو هفوات بشرية. إذا حصل أحد عليهم، يمكنه تحريك أصولك مثلما لو كانت ملكه. فكر في مفاتيح المنزل تحت عتبة الباب المنشورة في قصتك، لكن مع قلة الجيران وكثرة الروبوتات التي تراقب.
إذا لم أخبر أحداً بمفاتيحي، فأنا آمن. ليس تماماً. يمكن للبرمجيات الخبيثة، نوافذ المحفظة المزيفة، النسخ الاحتياطية السحابية، ولصق العبارات أن يحول المفاتيح القوية إلى مفاتيح ضعيفة دون أن تقول كلمة.
كيف تعمل المفاتيح الضعيفة
إليك الشريحة النموذجية من الآمن إلى الأسوأ. نسخة مختصرة، لكنها حقيقية.
- الخطوة 1: تقرأ محفظة، وهذا يعطيك مفاتيح الاستعادة والـ المفاتيح الخاصة الأساسية.
- الخطوة 2: التعرض يتسلل من خلال التخزين غير المنضبط، الأجهزة المصابة، أو عمليات الاحتيال السلسة مثل هجمات التصيد.
- الخطوة 3: يلتقط المهاجم المفاتيح أو البذرة ويبدأ بتوقيع المعاملات التي لم توافق عليها.
- الخطوة 4: تتحرك الأموال إلى العناوين التي يتحكم بها، وتقبل السلسلة التوقيع كصحيح.
- الخطوة 5: تلاحظ تدفقات خارجة غريبة، ثم تسعى لنقل أي بقايا إلى محفظة جديدة.
قبيحة، سريعة، ويمكن تجنبها ببعض العادات.
لماذا مفاتيح vulnerable keys مهمة
فلماذا يجب أن تهتم؟ لأن المفاتيح هي بوابات كل شيء تملكه على السلسلة.
- الفائدة: العادات القوية تحافظ على عملاتك، و NFTs، وهويتك تحت سيطرتك، وليس تحت سيطرة شخص آخر.
- المنظور: يركز القُراصنة على العادات، ليس التكنولوجيا فحسب، وهم بحاجة إلى هفوة واحدة فقط للفوز.
- الأهمية: سترى المفاتيح في المحافظ، الDapps، البورصات، وحتى DAOs، ويمكنك مشاركة المفاتيح العامة بأمان ولكن ليس الجانب الخاص.
أغلق البريد الإلكتروني، وتسجيل الدخول إلى التبادل، ومديري كلمات المرور باستخدام المصادقة متعددة العوامل (MFA)، ثم احتفظ بالبذور خارج الإنترنت، ليس في لقطات الشاشة أو المحادثات.
السمات الرئيسية للمفاتيح الضعيفة
ما الذي يجعل المفتاح مهتزاً من الأساس:
- التعريض: مخزن كنص عادي، صور، أو ملاحظات سحابية يسهل grabbingها.
- الت entropy: عشوائية ضعيفة أو عبارات قابلة للتوقع تجعل التخمين ممكناً.
- إعادة الاستخدام: نفس المفتاح على سلاسل أو محافظ متعددة تعني ضربة واحدة وخسائر عديدة.
- الأجهزة: الهواتف وأجهزة الكمبيوتر المصابة تسرب الأسرار عبر برامج خبيثة ومدخلات مزيفة.
- النسخ الاحتياطي: بذور منسوخة في بريد إلكتروني أو مستندات تصبح غنيمة مجانية بعد اختراق حساب واحد.
التنوعات
طرق مختلفة ينتهي بها الأمر المفتاح إلى منطقة الخطر:
- ضعيف: بذرة عشوائية منخفضة أو مولد كسول يجعل التخمين واقعيًا.
- مسرب: عبارة بذرة منشورة، متزامنة، أو مخادعة تصيد، ثم تُجمع بواسطة روبوتات.
- إعادة الاستخدام: مفتاح واحد يُعاد تدويره عبر التطبيقات أو السلاسل، فتصير الخروقات المفردة واسعة.
- التأويل: عناوين جميلة مخصصة مصنوعة بأدوات بها عيوب أمان.
- المشاركة: يخزن عدة أشخاص البذرة أو يرسلونها، ويسقطها شخص واحد.
إذا كان شخص ما يحمل المفتاح الخاص، فيمكنه نقل الأموال. لا يوجد زر تراجع والدعم لا يمكنه إرجاع معاملة موقعة.
مثال
يقوم مستخدم بلصق بذرة في صفحة استيراد محفظة مزيفة، وتنهال الروبوتات عليها خلال دقائق، وتسمح المفاتيح الضعيفة للمهاجمين بتصفية الرموز و NFTs على الفور.
معلومة ممتعة
في أحد الأبحاث، قُدر أن يفرغوا محافظ أدمغة ضعيفة عبر تجربة عبارات شائعة على نطاق واسع، وبعدها أداة عنوان تأويلية (vanity address tool) عيبت المهاجمين لتخمين المفاتيح لصانع سوق رئيسي، مثبتين أن الأسلوب بدون أمان يمكن أن يكون مكلفاً جداً.
الختام
النسخة المختصرة لذهنك: احمِ المفاتيح من المصدر، لأن المفاتيح الضعيفة تقلب محفظتك إلى ملكهم، نعم، بهذه البساطة.