Czym są Vulnerable Keys?
Vulnerable Keys to klucze kryptograficzne, które łatwo ukraść, odgadnąć lub ujawnić z powodu złego przechowywania, słabej losowości lub ludzkich pomyłek. Jeśli ktoś je zdobędzie, może przelać twoje monety jak swoje. Pomyśl o kluczach schowanych pod wycieraczką, pokazanych w relacji, tylko z mniejszą liczbą sąsiadów i większą liczbą botów, które obserwują.
Jeśli nigdy nikomu nie powiem o swoich kluczach, jestem bezpieczny. Nie do końca. Złośliwe oprogramowanie, fałszywe wyskakujące okienka portfeli, kopie zapasowe w chmurze i wklejone frazy mogą zamienić nawet mocne klucze w Vulnerable Keys, nie mówiąc ani słowa.
Jak działają Vulnerable Keys
Typowy scenariusz: jak ze stanu bezpiecznego powstaje problem. Krótko i na temat.
- Krok 1: Tworzysz portfel, który daje ci Klucze odzyskiwania i leżące u podstaw Klucze prywatne.
- Krok 2: Ujawnienie wkrada się przez niechlujne przechowywanie, zainfekowane urządzenia lub sprytne oszustwa, takie jak Ataki phishingowe.
- Krok 3: Atakujący przechwytuje klucze lub seed i zaczyna podpisywać transakcje, których nigdy nie zatwierdziłeś.
- Krok 4: Środki trafiają na adresy, które kontrolują, a łańcuch akceptuje podpis jako poprawny.
- Krok 5: Zauważasz dziwne wypływy, po czym śpieszysz, by przenieść pozostałości do nowego portfela.
Brzydkie, szybkie i możliwe do uniknięcia dzięki kilku nawykom.
Dlaczego Vulnerable Keys są ważne
Dlaczego powinno cię to obchodzić? Ponieważ klucze są strażnikami dostępu do wszystkiego, co posiadasz na łańcuchu.
- Korzyść: Dobre nawyki utrzymują twoje monety, NFT i tożsamość pod twoją kontrolą, a nie kogoś innego.
- Perspektywa: Atakujący celują w zachowania, nie tylko w technologię, i wystarczy im jedno potknięcie, by wygrać.
- Znaczenie: Zobaczysz klucze w portfelach, dappach, giełdach, nawet w DAO, i możesz bezpiecznie udostępniać swoje Klucze publiczne, ale nigdy części prywatnej.
Zabezpiecz e-mail, loginy do giełd i menedżery haseł za pomocą Uwierzytelniania wieloskładnikowego (MFA), a następnie przechowuj seed offline, nigdy w zrzutach ekranu ani w czatach.
Główne cechy Vulnerable Keys
Co sprawia, że klucz jest chwiejny:
- Ujawnienie: Przechowywane w postaci zwykłego tekstu, zdjęć lub notatek w chmurze, które łatwo przechwycić.
- Entropia: Słaba losowość lub przewidywalne frazy umożliwiają odgadnięcie.
- Powtórne użycie: Ten sam klucz na wielu łańcuchach lub portfelach oznacza jeden atak, wiele strat.
- Urządzenia: Zainfekowane telefony i laptopy ujawniają sekrety przez złośliwe oprogramowanie i fałszywe wprowadzanie danych.
- Kopie zapasowe: Wklejone seedy w e-mailach lub dokumentach stają się łatwym łupem po jednym przełamaniu konta.
Wariacje
Różne sposoby, w jakie klucze trafiają do strefy zagrożenia:
- Słaby: Seed o niskiej losowości lub niedbały generator sprawiają, że odgadnięcie jest możliwe.
- Wykradziony: Fraza seed opublikowana, zsynchronizowana lub wyłudzona przez phishing, a następnie zeskrobana przez boty.
- Powtórnie użyty: Jeden klucz wykorzystywany w różnych aplikacjach lub łańcuchach, więc jedno złamanie rozprzestrzenia się.
- Vanity: Urocze niestandardowe adresy tworzone za pomocą wadliwych narzędzi, które obniżają bezpieczeństwo.
- Udostępniony: Kilka osób przechowuje lub przesyła seed i jedna osoba popełnia błąd.
Jeśli ktoś posiada klucz prywatny, może przemieszczać środki. Nie ma przycisku cofania i wsparcie nie może cofnąć podpisanej transakcji.
Przykład
Użytkownik wkleja seed na fałszywej stronie importu portfela, boty przechwytują go w ciągu kilku minut, a Vulnerable Keys pozwalają atakującym natychmiast opróżnić tokeny i NFT.
Ciekawostka
Naukowcy kiedyś opróżnili słabe brain wallety, próbując masowo popularne frazy, a błąd w narzędziu do generowania vanity adresów pozwolił później atakującym odgadnąć klucze dużemu twórcy rynku, co pokazało, że wygląd bez zabezpieczeń może kosztować bardzo dużo.
Podsumowanie
W skrócie: chroń klucze u źródła, ponieważ Vulnerable Keys zamieniają twój portfel w ich portfel, tak, to takie proste.