Displaying items by tag: Информационная безопасность

30 Июля 2023 года в одиннадцатый раз открыла свои двери для слушателей Летняя Школа CTF – высококлассный интенсив по информационной безопасности от лучших в своём деле! В этом году среди слушателей и гостей были не только наши соотечественники, но и представители международного CTF-сообщества.

Топовые спикеры ведущих российских компаний выступили с более чем 30-ю докладами, донося до аудитории последние тренды и самую актуальную информацию из мира информационной безопасности. Не забыли организаторы и о смежных сферах, которые могли бы помочь ребятам на пути становления в качестве защитника информации. 

Полное погружение в тему, развитие уже имеющихся и овладение новыми навыками, активный отдых и практические задания, а также тренинги, мастер-классы, Хакатон, технические лабораторные и развлекательная программа – всё это ждало 77 слушателей одиннадцатой летней смены, 26 из которых попали на интенсив совершенно бесплатно, благодаря грантам от наших партнёров.

Мероприятие проводилось при поддержке НАМИБ, Минцифры России и Губернатора Московской области.

 

Первым делом! Формирование команд

Открыл неделю командный этап хак-квеста, который представляет собой не только отличную возможность впервые проявить себя, но и познакомиться с другими слушателями ЛШ, выполняя общие задачи.

Первая часть квеста была больше нацелена именно на знакомство ребят друг с другом: участникам предлагались простые задания, основной целью которых являлась работа в команде, сплочение коллектива и знакомство с территорией (пройтись вместе по натянутой веревке, передать информацию посредством пантомимы и т.д.)

На втором этапе ребятам уже было необходимо научиться ориентироваться на местности и при помощи мобильных устройств решать CTF-задачки, уровень сложности которых постепенно возрастал.

Таким образом, уже на самом старте участники могли понять свои сильные и слабые стороны, а организаторы, внимательно следившие за ходом мероприятия, в свою очередь, подсказать оптимальные пути решения возникших проблем.

Основываясь на достижениях, манере поведения и особенностях освоения этапов хак-квеста, а также по результатам прохождения тестирования, состоявшегося ещё до старта Летней Школы, были сформированы 11 команд, во главе которых были поставлены индивидуальные кураторы.

 

Практическая часть

Практическая часть Летней Школы CTF состояла из ежедневных задач, интенсивов, мастер классов и лабораторных работ, в число которых входили:

1) Таск дня – выдавались участникам ровно на 24 часа, по истечении отведённого времени сдать их было нельзя. Сами таски охватывали широкий спектр CTF-задач:

· OSINT;

· элементы Социальной Инженерии;

· креативные задачи;

· задачи на внимательность и так далее.

2) Умный Дом – ряд задач, при решении которых не было привычного флага, но происходили какие-либо физические действия - отключение света/системы вентиляции, включение электрической дуги или насоса для перекачки жидкости, открытие электронного замка и т.п.

3) 36-часовой Хакатон для всех команд – в этом году в качестве задания участникам было предложено «доработать» действующего бота ЛШ или предложить новые интересные задумки для него. Сложность была в том, что сперва было необходимо разобраться в действующем коде, а уже потом делать свою прослойку.

4) AntiCTF – разработка собственных заданий в формате CTF и последующая четырёхчасовая игра среди команд.

5) LastCTF – AntiCTF от участников прошлой ЛШ.

6) Проведение лабораторных работ по Attack-Defence. 

7) Лабораторная работа по сетевому администрированию VSFI.

8) Тематическое задание «Танк» – участникам необходимо было разобраться с действующей конфигурацией танка и написать собственную прошивку, а также сделать электронную подпись к ней, залить всё в предоставленный гитлаб и успешно пройти CI/CD проверки.

9) Классический FlappyBird, но в усложненной конструкции - в этом году требовалось быстро и точно нажимать определенные клавиши, чтобы птичка летела. 

10) Мастер-класс по Security Operation Center (SOC) – расследование реального инцидента и восстановление событий по цепочке логов.

11) WAF ByPass – задача на обход фильтров WAF по разным векторам.

12) Дополнительные таски по различным категориям - криптография, веб-уязвимости, ppc.

13) Отдельное новшество этой ЛШ - новое командное задание на распайку различных конструкций. В зависимости от уровня сложности (робот, светодиодный куб, металлодетектор и т.д.) команде выдавался набор для самостоятельной сборки (DIY) определенного типа. Задачей было полностью распаять данную конструкцию и продемонстрировать ее работоспособность. 

14) Задание на построение модели системы защиты облачного сервиса - задача от нашего партнера Координационного Центра РФ. 

За решение практических заданий участники получали баллы в два зачета: командный и индивидуальный. На закрытии Летней школы те, кто набрал наибольшее количество баллов, получили подарки от наших партнеров.

 

Победители:

 

Личный зачет 1 место - Световой Владислав

Личный зачет 2 место - Пахомов Глеб

Личный зачет 3 место - Черкасов Евгений

 

Командный зачет 1 место – Slammer

Командный зачет 2 место – Nimbda

Командный зачет 3 место - Enigma

 

Спикеры, лекции, семинары 

Каждый год мы стремимся дать слушателям Летней Школы самую полную и актуальную информацию по всем направлениям, для чего приглашаем топовых экспертов отрасли, готовых поделиться с новым поколением безопасников бесценным опытом становления и активной работы в сфере информационной безопасности. 

Мастер-класс «Коммуникация» (Татьяна Ширяева, Виктор Минин) и тренинг по профайлингу от Даниила Лобанова помогли ребятам лучше понять алгоритмы работы в команде, прокачать коммуникационные и социальные навыки, необходимые для создания любой успешной команды. Ведь CTF – это в первую очередь коллектив, общение и решение конфликтов в котором являются залогом долгой и продуктивной работы. 

Буквально за неделю до старта Летней Школы с Северного Полюса вернулся наш бессменный спикер, «любимый разведчик Кремля» и ведущий эксперт по конкурентной разведке Андрей Масалович, известный также под псевдонимом КиберДед.

В свои 62 года Андрей Игоревич способен зарядить энергией небольшую электростанцию, является гвоздём программы крупнейшей российской конференции Positive Hack Days и, несмотря на санкции, наложенные на него в этом году, за «продажу инструмента для слежки на базе больших данных», обретает всё большую популярность в среде как совсем юных, так и опытных безопасников, чему, помимо прочего, способствовал и выход книги «Кибердед знает».

Разработанная им система интернет-разведки Avalanche, ставшая предметом яростных дебатов в сети не только в России, но и далеко за её пределами, уже более 10 лет успешно справляется с поставленными задачами.

Слушателям Летней Школы посчастливилось из первых уст получить информацию о том, как извлекать информацию из больших баз данных и гаджетов, из невидимого интернета и интернета вещей. Такой навык становится особенно полезным в турбулентные времена. Сегодня OSINT (Open Source INTelligence - разведка по открытым источникам) это не просто сбор информации о конкретных объектах интереса, а инструмент выживания и процветания.

В докладе рассматривались более двадцати новых приемов и инструментов интернет-разведки. Приятным бонусом стала подаренная всем участникам интенсива книга Андрея Игоревича с персональным автографом. 

Пообщался со слушателями Летней Школы и Мустафин Ильназ – руководитель направления безопасной разработки компании Киберпротект, начавший свой путь в IT более 10 лет назад с Service Desk. Ильназ представил доклад на тему «Безопасный код: вселенная без "черных дыр"», в котором рассказал о:

- принципах secure by design;

- безопасном коде и том, каким тот должен быть;

- как выстроить процесс SSDLC (Безопасная разработка);

- для чего нужны DevSecOps в SSDLC;

- поиски "черных дыр", перед релизом.

Отдельно хотелось бы отметить, что компания Киберпротект выступила спонсором гранта, благодаря чему на безвозмездной основе на ЛШ2023 смог попасть ещё один одарённый участник!

Уже который год подряд мы были рады приветствовать в стенах Летней Школы Дмитрия Склярова - ведущего аналитика Positive Technologies, руководителя отдела исследования приложений, доцента кафедры информационной безопасности МГТУ и автора книги «Искусство защиты и взлома информации». Дмитрий занимается анализом двоичного кода, недокументированных протоколов и структур данных.

Участники интенсива с большим интересом прослушали доклад эксперта «Я реверсер, я так вижу!», в рамках которого эксперт поделился своим опытом и взглядами на причины проблем с кодом и процессы, которые эти проблемы призваны ликвидировать.

Организаторы сердечно благодарят всех спикеров, выкроивших в своём рабочем графике время, чтобы посетить Летнюю Школу CTF и пообщаться со слушателями интенсива! Каждому хочется выразить слова благодарности, каждого отметить. Именно благодаря вам растёт новое поколение заинтересованных, мотивированных безопасников, способных обеспечить достойную защиту данных, и по-настоящему увлечённых своим делом специалистов!

 

Особые гости

Летнюю Школу CTF 2023 посетили и особые гости. И первым делом мы бы хотели рассказать о выдающейся личности, полковнике в отставке, разведчице-нелегале Людмиле Ивановне Нуйкиной!

Вместе с мужем она до 1986 года работала в более чем 18 странах мира. Успешно решала большой комплекс стоящих перед разведкой задач. Разведчики-нелегалы трудились в государствах с жестким административно-полицейским режимом в условиях, сопряженных с риском для жизни. Мужественно преодолевали все трудности.

Активная оперативная деятельность супругов была нацелена на добывание сведений экономического, военно-политического и научно- технического характера, а также на ведение поисковой работы среди представляющего интерес вербовочного контингента. Людмила Ивановна лично участвовала в обеспечении и успешном проведении ряда ответственных оперативных мероприятий. 

Рады сообщить, что совсем скоро выйдет видеоинтервью с участием этого знакового для нашей разведки человека, которое будет опубликовано в ВК-группе Летней Школы CTF!

Прекрасной возможностью больше узнать об истории CTF, услышать о взлётах и падениях региональных соревнований и в целом проникнуться атмосферой нашего CTF-комьюнити воспользовались преподаватели самых разных вузов:

· ТюмГУ

· СурГУ

· ИТМО 

· Кубанский институт информзащиты 

· ПГУТИ

· КИП ФИН

· ННГУ

· Университет МВД им. Кикотя В.Я.

· МЦК-КТИТС

· МУИТ (Казахстан)

Помимо прочего, для уважаемых гостей были проведены отдельные семинары, способствовавшие лучшему пониманию организационных вопросов, связанных с проведением и подготовкой к CTF-соревнованиям. Более опытные коллеги поделились своими наработками относительно того, как встроить обучение и тренировки в образовательный процесс, чтобы не перегрузить учебный план. Говорили о трудностях, с которыми могут столкнуться организаторы и преподаватели и о том, как с ними лучше справляться.

Посетили наш интенсив и гости из Казахстана и Монголии. Ребята всё активнее проявляют себя в CTF-комьюнити и с большим азартом относятся к стоящим перед ними задачам по развитию CTF-движения в своих регионах. В рамках проведения VIКубка CTFРоссии мы уже встречались с талантливыми участниками из казахской команды SCIMUS_VERUM и очень рады были приветствовать новых, искренне заинтересованных темой ИБ ребят на Летней Школе 2023. Делиться опытом с людьми, увлечёнными нашим общим делом – настоящий подарок!

Искренне надеемся, что столь конструктивное общение и обмен опытом посодействуют еще более стремительному развитию CTF-движения как в России, так и за её пределами.

Отдельно хотелось бы отметить выступление исполнительного директора Всероссийского общественного движения наставников детей и молодежи «Наставники России», ведущего аналитика Центра развития и воспитания личности ФГБУ Российской академии образования Андрея Самотоина. В рамках диалога с аудиторией Андрей Николаевич говорил о важности ближайшего окружения любого человека, особенно только начинающего свой путь становления и личностного роста.

Также на гостевой основе присутствовали и ребята, только начинающие интересоваться темой ИБ. Впечатлённые той атмосферой и пользой, которыми пропитан наш интенсив, они серьёзно занялись самоподготовкой и готовятся присоединиться к слушателям Летней Школы в следующем году! 

 

Развлекательная часть

Не забыли организаторы и о том, что на дворе стоит прекрасная погода, а качественный отдых лишь способствует лучшему усвоению материала! Мы приложили максимум усилий, чтобы обучение ребят проходило в комфортной среде, создавали условия не только для получения знаний, но и общения, налаживания связей; проводили «Угадай мелодию», «Что? Где? Когда?», дискотеку, караоке, спортивные игры, «Киллера», фестиваль красок холи и многое другое.

Очень «душевным и тёплым» мероприятием, по словам самих участников, получилось неофициальное закрытие летней смены 2023: после высказанных организаторам слов благодарности, был зажжён огромный костёр, рядом с которым все могли поучаствовать в «Обнимашках» и повязать друг другу ниточку на память, сопроводив ту тёплыми словами и пожеланиями.

Отмечать день флага Российской Федерации стало уже доброй традицией. Каждый год на Летней Школе мы заранее празднуем этот день и в этот раз он прошёл не менее ярко, чем в предыдущие, завершившись ярким праздником красок холи, так полюбившимся нашим участникам.

 

Круглый стол АРСИБ

В рамках Летней Школы CTFбыл проведён круглый стол Ассоциации руководителей служб информационной безопасности, главной задачей которого являлось построение доверительной и эффективной коммуникации между ведущими экспертами в области информационной безопасности и аудиторией.

Специалисты делились своим опытом и рассказывали ребятам о входе в профессию, о том, насколько актуальна и востребована на сегодняшний день специальность сотрудника служб информационной безопасности, разбирали кейсы и не упускали возможность разрядить атмосферу парой-тройкой забавных случаев из практики.

12 экспертов – 12 историй становления в профессии – 12 пожеланий и напутствий слушателям ЛШ2023.

 

География участников

Всего для участия в интенсиве были отобраны 77 участников из России и ближнего зарубежья. Ребята приехали к нам из таких городов, как:

· Алматы

· Воронеж 

· Дзержинск, Нижегородская область/ Нижний Новгород

· Ростов-на-Дону

· Донецк

· Екатеринбург 

· Зеленоград

· Казань

· Канск 

· Котельники

· Красногорск 

· Краснодар

· Москва 

· Мытищи

· Орел

· Пушкино

· Санкт-Петербург

· Сургут

· Таганрог

· Томск

· Тюмень

· Уфа

 

Список образовательных организаций:

Школа №618

Школа №152

Школа №179

Школа №31 Санкт-Петербург

Школа "Интеграл"

Школа Космонавтики

Лицей №1580 им Н.Э. Баумана

Лицей №153

Лицей НИУ ВШЭ

Школа "Летово"

Воронежский Государственный Унивеститет

Донецкий Национальный Университет (ДонНУ)

Казанский Федеральный Университет

КИП ФИН

Колледж связи №54

КПК РТУ (МИРЭА)

Краснодарский Университет МВД России

МАИ

МГТУ имени Н.Э. Баумана

Московский Университет МВД им. В.Я. Кикотя

МТУСИ

МУИТ

ННГУ им Н. И Лобачевского

РТУ (МИРЭА)

Санкт-Петербургский университет МВД

СурГУ

ТУСУР

ТюмГУ

Университет ИТМО

УрФУ

ЮФУ

Ithub

 

Дополнительная информация 

 

LETOCTFBOT

В этом году мы вновь не стали отказываться от предоставления возможности всем желающим попасть на Летнюю Школу совершенно бесплатно! 1 июня был запущен LETOCTFBOT, в рамках взаимодействия с которым ребята могли заранее оценить уровень собственной подготовки и выиграть поездку на летнюю смену, набрав максимальное количество баллов за решение тасков.

Каждую неделю пользователи получали новое задание, на решение которого отводилось 7 дней. По истечении отведённого срока организаторы публиковали верное решение, после чего участники могли продолжить решение таска лишь вне зачёта.

В этом году победителем среди 340 претендентов стала Авдеева Лиза и неудивительно, что именно ей также был выделен грант одним из наших партнёров, а потому решением оргкомитета главный приз перешёл к следующему за Лизой конкурсанту, которым стал Гантумур Золбообаяр из Монголии! Расходы на его проживание, обучение и дорогу полностью взяли на себя организаторы Летней Школы.

 

Собеседования перед зачислением 

Новшеством этого года стало введение личных бесед перед зачислением в ряды слушателей интенсива. Всего было проведено 250 собеседований, по результатам которых зачислены 77 участников.

 

Место проведения

Летняя Школа CTF – это не только прекрасная возможность прокачать свои знания, но и провести 10 дней в экологически чистой лесопарковой зоне! Каждый год мы тщательно выбираем место для проведения интенсива.

Стараемся учесть всё: удобство расположения, наличие необходимого оборудования и комфортабельных конференц-залов для проведения лекций; следим за питанием и здоровьем наших подопечных. Наличие особенностей развития или патологий здоровья, требующих отдельного питания или особого подхода, – не причина отказываться от участия в Летней Школе, мы просим лишь заранее известить организаторов о подобных нюансах!

В этом году Летняя Школа вновь проводилась в учебно-оздоровительном комплексе «Лесное озеро» Финансового университета при Правительстве Российской Федерации. На территории комплекса расположены 2 жилых корпуса, медицинский корпус, соединенный с главным корпусом крытым отапливаемым переходом, 2 коттеджа, спортивные площадки различных направлений: мини-футбол, баскетбол, волейбол, большой теннис, множество зон отдыха с беседками.

Сам же комплекс раскинулся на берегу живописного Истринского водохранилища, что в 70 км от Москвы, в Солнечногорском районе.

Буст ваших знаний + здоровый отдых = Летняя Школа CTF 2023!

 

Заключение

Летняя Школа CTF – это проект, который делают Люди! Организаторы, спонсоры, партнёры грантов, транспортная и техническая команды, медиагруппа, спикеры, кураторы, наставники и сами участники – благодаря каждому из вас этот проект живёт, развивается и с каждым годом получает всё большие возможности для передачи бесценного опыта и знаний подрастающему поколению ИБ-специалистов. Вклад каждого имеет свой, особое значение для общего дела, и мы благодарим всех, кто принимал участие и помогал в организации Летней Школы CTF 2023!

Особую благодарность выражаем принимающей стороне - учебно-оздоровительному комплексу «Лесное озеро» Финансового университета при Правительстве Российской Федерации и лично ректору университета Прокофьеву Станиславу Евгеньевичу и его команде.

А также Всероссийскому общественному движению наставников детей и молодежи «Наставники России».

 

 

 

Кому сказать "спасибо" за Летнюю школу 2023?

За помощь в организации XI Летней Школы CTF 2023 Ассоциация руководителей служб информационной безопасности выражает благодарность спикерам, партнерам и всем неравнодушным людям и компаниям. Наше мероприятие состоялось благодаря Вам. Спасибо!

Отдельно благодарим за поддержку НАМИБ, Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации и губернатора Подмосковья Андрея Воробьева.

Особую благодарность выражаем генеральному и официальному партнерам - RDP и Сбер.

 

Спасибо нашим партнерам за материальную и техническую поддержку.

Партнеры: Гознак, Координационный центр доменов .RU/.РФ, Лаборатория Касперского.

Партнеры грантов: Киберпротект, НТЦ «Вулкан», EdgeЦентр, «SearchInform», УЦСБ, «ИнфоТек», Код Безопасности, «Star Force», «White Hack», Positive Technologies, UserGate, T1 Watchman.

Генеральный информационный партнер: Хакер.

Информационный партнер: CTF News.

Технологические партнеры: ПАО «МТС», UserGate, компания «Актив Софт».

Особая благодарность за предоставление широкополосного Интернета команде компании МТС.

Транспортный партнер: ИАЦ «Борей».

Спасибо всем спикерам за ваши доклады и знания, которые увезли с собой наши участники!

Александр Молчанов, Александр Трунев, Алексей Гуляев, Андрей Масалович, Артем Избаенков, Артем Калашников, Вадим Михайлов, Виктория Елагина, Виталий Васюнин, Владимир Иванов, Владимир Черепанов, Глеб Марченко, Даниил Лобанов, Дмитрий Муковкин, Дмитрий Скляров, Евгений Царев, Евгений Широков, Ирина Слонкина, Людмила Нуйкина, Максим Подобаев, Никита Бекетов, Сергей Голованов, Татьяна Ширяева.

Отдельную благодарность выражаем всем, кто помогал нам в реализации проекта!

Александр Будников, Александр Меньщиков, Александр Смирнов, Александр Шойтов, Александра Троцкая, Алексей Гуляев, Алексей Посикера, Алексей Фомин, Алина Алексеева, Анастасия Дюмулен, Анастасия Пан, Анастасия Шишкова, Андрей Глухарев, Андрей Голов, Андрей Крутских, Андрей Масалович, Андрей Чахеев, Анна Балухта, Анна Коротышева, Антон Быков, Антон Марков, Арсений Ларченков, Арсений Палагин, Артем Калашников, Богдан Кондратьев, Вадим Михайлов, Вадим Ружников, Вероника Гаршина, Виктор Покусов, Виктория Бунчук, Виктория Сабурская, Владимир Иванов, Владимир Лось, Вячеслав Новиков, Галина Козырева, Глеб Сердитых, Григорий Остапенко, Даниил Лобанов, Данил Заколдаев, Денис Масленников, Денис Петровский, Дмитрий Богданов, Дмитрий Гусев, Дмитрий Муковкин, Дмитрий Федоров, Евгений Царев, Екатерина Сватова, Елена Федина, Елизавета Антонова, Иван Нагорнов, Игорь Душа, Игорь Захаренков, Игорь Макаров, Игорь Морозов, Ильназ Мустафин, Ипполит Дюмулен, Ирина Корх, Ирина Поздняк, Искандер Зулькарнеев, Искандер Зулькарнеев, Кристина Сауберг, Ксения Харламова, Леонид Ротков, Максим Куликов, Максим Марушкин, Максим Подобаев, Марина Шутова, Михаил Кадер, Наталья Михайленко, Никита Полуэктов, Николай Микрюков, Оксана Полякова, Олег Иевлев, Олег Томниковский, Ольга Баскакова, Ольга Горлова, Ольга Карпунина, Павел Горбачев, Рустам Хидиятуллин, Саркис Шмавонян, Сауле Аманжолова, Сергей Будников, Сергей Волков, Сергей Голованов, Сергей Горелик, Сергей Коношенко, Сергей Лебедь, Сергей Ожегов, Сергей Сухман, Сергей Ширяев, Станислав Шевченко, Татьяна Ровенская, Элина Яруллина, Юлия Бахмутова, Юлия Черникина, Юрий Багров, Юрий Рожнов.

Спасибо команде организаторов Летней школы за всю проделанную работу!

Александр Котов, Александра Мартынова, Алексей Гуляев, Алексей Овчинников, Алиса Соболева, Антон Зеунов, Арина Казанцева, Валерия Кириллова., Виктор Минин, Галина Котлова, Даниил Лобанов, Даниил Ширшов, Евгений Емельянов, Елизавета Антонова, Иван Краснопольский, Кирилл Минин, Лев Хакимов, Максим Подобаев, Максим Смирнов, Маргарита Карева, Маргарита Рублева, Наталия Бекасова, Наталья Мануйлова, Никита Бекетов, Сергей Кузнецов.

Благодарим членов Ассоциации руководителей служб информационной безопасности (АРСИБ) за активное участие в нашем мероприятии!

Александр Мишурин, Александр Першин, Алексей Подмарев, Андрей Нуйкин, Артем Избаенков, Владимир Бугров, Дмитрий Костров, Илья Алексенко, Марат Шамсудинов, Мария Худышева, Михаил Смирнов, Ольга Курбанова, Сергей Голяк.

 

Источники:

 

«Летняя Школа CTF 2023»: итоги | ACISO CTF | Дзен

Кому сказать "спасибо" за Летнюю школу 2023? | ACISO CTF | Дзен

Published in LAST WEEK'S RELEASES

21 ноября 2022 года, вышел в свет 5-й номер журнала "Информационная безопасность". В нём была опубликована статья руководителя Санкт-Петербургского регионального отделения АРСИБ, руководителя Комитета по безопасности цифровых активов и противодействию мошенничеству, судебного эксперта, Александра Подобных — Биткойн-криминалистика для деанонимизации криптомиксеров и транзакций CoinJoin (в разделе Технологии \ Криптография).

В отличие от алгоритмов, люди всегда оставляют следы. Биткойн по природе публичен, история его транзакций может быть легально просмотрена кем угодно. И хотя пользовательские публичные адреса в блокчейне не дают возможность идентификации конкретных лиц, стоящих за каждой операцией, но технологии анализа развиваются, и они все эффективнее позволяют связывать адреса с личностями. Поэтому со временем появились технологии разрыва связей между транзакциями – миксеры, тумблеры и CoinJoin.

Миксеры, тумблеры и CoinJoin

В широком смысле миксинг (микширование) монет может означать любую деятельность, связанную с обфускацией финансовых средств и заменой их другими. Применительно к криптовалютам под миксингом обычно подразумеваются услуги третьей стороны, которая принимает средства пользователей и за небольшую комиссию возвращает криптомонеты, уже не имеющие связи с отправленными. Эти сервисы известны как тумблеры или миксеры.

Безопасность и анонимность таких централизованных сервисов, конечно, сомнительна, ведь пользователь не получает гарантии возврата своих средств и их валидности. Фактически в процессе миксинга пользователь временно отказывается от контроля над своими средствами, надеясь получить обратно монеты, не связанные с отданными. Кроме того, выполняющая миксинг сторона может логировать IP- и биткойн-адреса, а это угрожает конфиденциальности пользователей.

Более высокую степень несвязанности предоставляет интересный подход, называемый CoinJoin. Он заключается в объединении средств нескольких пользователей в одну транзакцию. Так как входы объединяются, становится невозможно однозначно связать конкретный выход транзакции с каким-либо входом. После транзакций CoinJoin никакие свидетельства не могут гарантированно доказать связь пользователя с его предыдущими транзакциями. Таким образом, CoinJoin служит чем-то вроде черного ящика для миксинга монет, скрывающего связь между старыми и новыми владельцами криптосредств.

Многие решения CoinJoin являются децентрализованной альтернативой микшерам. Несмотря на то что в схеме может присутствовать координатор, пользователям не нужно отказываться от временной потери контроля над своими средствами. Новейшие реализации CoinJoin позволяют пользователям надежно объединять свои входные данные с десятками других, обеспечивая высокую степень несвязности. Например, в середине 2019 г. была успешно выполнена транзакция с сотней участников.

Сам факт существования CoinJoin достаточен для того, чтобы поставить под сомнение методы анализа криптотранзакций. В большинстве случаев можно понять, что был использован CoinJoin, но нельзя узнать, кому какие средства были переведены. В оценке киберпреступности ЕС за 2020 г. сервисы кошельков, использующие концепции CoinJoin, такие как Wasabi и Obscuro, были признаны главной угрозой наряду с хорошо зарекомендовавшими себя централизованными микшерами.

Obscuro, поддерживая децентрализованную службу микширования, к тому же использует антифорензивные методы, например аппаратные среды доверенного выполнения (TEE) для защиты своих операций от операционной среды. Содержимое защищенного анклава шифруется и хранится в оперативной памяти, теоретически оставляя минимальные артефакты на диске системы, в которой он работает. Obscuro использует защищенный анклав Intel SGX System Secure Enclave для отделения данных приложений от остальной части системы. Исследователи назвали эту и аналогичные технологии TEEs BANKLAVES (банклавы).

Почему используются криптомиксеры?

Большинство пользователей сервисов микширования используют их с целью конфиденциальности. Такая конфиденциальность важна тем, кто по различным причинам хочет совершать финансовые операции анонимно.

Небольшой процент пользователей миксеров являются киберпреступниками. Они используют сервисы смешения, чтобы скрыть связь между криптокошельками, которые используются ими для сбора незаконной прибыли, и криптокошельками, с которых они переводят средства на криптофиатные биржи. Таким образом они стремятся избежать срабатывания предупреждений в антифрод-системах, связанных с отмыванием денежных средств. В июле 2022 г. около 10% всех криптовалют, принадлежащих незаконным сервисам, были отмыты именно через миксеры.

Биткойн-криминалистика

Для биткойн-криминалистики важно, что координатор CoinJoin имеет представление о пользовательской информации, которая может позволить cвязать входные данные с пользователем. Это открывает возможность обнаружения значимых артефактов (свидетельств), если инфраструктура криптосервиса будет подвергнута криминалистическому анализу.

В мае 2019 г. голландская служба финансовой информации и расследований (FIOD) в тесном сотрудничестве с Европолом и властями Люксембурга конфисковала шесть серверов Bestmixer.io, контролирующих потоки Bitcoin, Bitcoin Cash и Litecoin. Изъятие серверов злоумышленников и надлежащее восстановление информации помогают обеспечить значительную степень раскрытия анонимности этих транзакций. Если исследователям известны биткойн-адреса, принадлежащие как интересующему лицу, так и стороннему сервису микширования, они могут идентифицировать транзакции между ними.

В 2021 г. сотрудники Эдинбургского университета Нейпира опубликовали исследование, описывающее инструментарий и методологию для анализа сервисов смешивания биткойнов, доступ к которым был получен после судебного изъятия. Они изучили, какие реальные, общедоступные инструменты и методы раскрываются криминалистически, а также проанализировали источники артефактов, которые потребуют дальнейшего академического внимания.

Тестовая среда упомянутых кошельков была развернута на виртуальных машинах, затем использовался ряд инструментов компьютерно-технической экспертизы для исследования созданных виртуальных образов на наличие значимых артефактов. Задействованные инструменты смогли восстановить широкий спектр криминалистических свидетельств и позволили обнаружить, что сетевые активности и файлы системных журналов являются полезными источниками свидетельств для деанонимизации служб микширования.

Наиболее эффективные методы защиты от криминалистической экспертизы, используемые службами микширования, включали шифрование данных при передаче и в состоянии покоя. Obscuro микшировал в защищенном анклаве, но последующая запись этих данных на диск в зашифрованных артефактах сделала это микширование избыточным и привело к компрометации данных.

Инструменты анализа транзакций

Исследователи использовали различные наборы криминалистических инструментов, а затем по результатам их работы выполнялся поиск конкретных криминалистических артефактов. Преимущество в том, что для поиска значимых доказательств можно применять множество инструментов, предоставляющих расширенные возможности: захват файлов и потоков данных, анализ сигнатур и более глубокий синтаксический анализ конкретных приложений.

1. Autopsy, один из основных инструментов цифровой криминалистики с открытым исходным кодом, позволяющий анализировать жесткие диски, смартфоны, флеш-карты и т.д.

2. FTK Imager, программное обеспечение с открытым исходным кодом, которое было выбрано за его мощную способность монтировать и анализировать файлы образов.

3. AXIOM, платный комплексный набор инструментов, позволяющий захватывать снепшоты устройств, обрабатывать образы для восстановления данных, он предоставляет аналитические инструменты.

4. Для анализа и исследования сетевого трафика использовался инструмент Wireshark, а для исследования снепшотов памяти – LIME и Volatility.

На сегодняшний день доступны экспертные инструменты для анализа транзакций и кластеризации адресов, которые превращают криптотранзакции в простую визуализацию, подкрепленную точными данными об атрибуции адресов.

Заключение

По состоянию на 2022 г. в России запрещено использование криптовалют в качестве средства платежа, но при этом по-прежнему растут криптофинансовые потоки и незаконные финансовые сервисы на теневом рынке, в том числе и миксеры криптовалют. Между тем в Евросоюзе уже создан регулирующий орган AMLA, которому поручен прямой надзор за криптобизнесом.

При столкновении с биткойн-миксером, разработанным для сокрытия источника биткойнов и личности пользователей, правоохранительным органам требуется специфический набор навыков и инструментов для отслеживания средств, совершенно отличный от соответствующего комплекта для сбора криминалистических доказательств в случае более традиционных форм отмывания денежных средств. Кроме того, пока еще проведено мало исследований, направленных на рассмотрение и изучение криминалистического анализа сервисов смешивания биткойнов.

Аналитические платформы уже достаточно развиты для того, чтобы видеть все криптотранзакции. Примером является программное обеспечение Chainalysis для обеспечения соответствия требованиям в сфере оборота криптовалют. В России для этих целей работает платформа КОСАтка.

Не следует забывать, что использование Tor в Wasabi, как правило, помогает в решении проблем конфиденциальности и безопасности, но субъекты угроз, ищущие биткойн-трафик, могут и действительно нацеливаются на узлы Tor в попытках украсть средства или раскрыть пользователей.

В ближайшем будущем стоит ожидать появления криминалистических инструментов с применением поддельных нод Tor и дистанционным сбором свидетельств с хостов и облачных ресурсов для нужд криминалистической экспертизы.

Источник: Информационная безопасность

Published in MEDIA ABOUT US

21 сентября 2022 года, вышел в свет 4-й номер журнала "Информационная безопасность". В нём была опубликована статья члена АРСИБ, CISA, эксперта по кибербезопасности инфраструктуры блокчейнов и противодействию мошенничеству в сфере оборота криптовалют, Александра Подобных — Смарт-контракты и вопросы безопасности (в разделе Технологии \ Безопасная разработка).

Сарт-контракт – это приложение, использующее блокчейн и выступающее в качестве цифрового соглашения, подкрепляемого набором правил. Смарт-контракты не являются договорами в юридическом смысле в большинстве юрисдикций, включая российскую. Это всего лишь приложение, удовлетворяющее формальным требованиям и запущенное в распределенной системе блокчейна. Смарт-контракты делают транзакции отслеживаемыми, прозрачными и необратимыми. Результатом выполнения контракта может быть обмен активами между сторонами.

Смарт - контракты имеют обширную область применения не только в финансовом секторе, но и в иных отраслях экономики, и мировой тренд на цифровизацию является одним из основополагающих драйверов развития этого инструмента. Смарт-контракты позволяют создавать протоколы коммуникации, не требующие априорного доверия между сторонами. Участники процесса могут быть уверены, что контракт будет выполнен только при соблюдении всех условий, в нем предусмотренных.

Кроме того, использование смарт-контрактов избавляет от необходимости в посредниках, значительно снижая расходы на проведение операций. Каждый блокчейн может использовать собственный способ реализации смарт-контрактов. Например, в сети Ethereum для написания смарт-контрактов используется язык Solidity.

С точки зрения разработчика, Solidity легко читается практически любым программистом и на первых шагах обманчиво кажется простым. Кроме кода, смарт-контракты содержат два публичных ключа, один из которых предоставлен создателем контракта, а другой является цифровым идентификатором, уникальным для каждого смарт-контракта.

Неизменность смарт-контрактов

Поскольку смарт-контракты работают в рамках неизменяемой децентрализованной блокчейн-сети, их результаты нельзя подделать ради неправомерного извлечения выгоды. Но неизменность является не только достоинством, но и недостатком. Например, в 2016 г. хакеры взломали децентрализованную автономную организацию The DAO и украли эфиры (валюта сети Ethereum) на миллионы долларов, воспользовавшись уязвимостями в коде смарт-контракта. Поскольку смарт-контракт The DAO был неизменным, разработчики не смогли исправить код.

В результате сеть Ethereum приняла решение откатить ситуацию до момента взлома, вернуть средства законным владельцам, и этот форк является частью текущего блокчейна Ethereum. В то время как оригинальная цепочка, получившая название Ethereum Classic, никак не отреагировала на взлом, руководствуясь тем, что события в блокчейне никогда не должны изменяться.

Высокая зависимость от уровня программистов и подверженность багам

Считается, что взлом злоумышленниками качественно написанных смарт-контрактов практически невозможен, а популярные смарт-контракты в индустрии децентрализованных финансов на сегодняшний день являются самым надежным способом хранения документов в цифровом мире. Но код пишется программистами, а из-за того, что смарт-контракт виден всем пользователям блокчейна, в рамках которого он функционирует, его возможные уязвимости будут видны всей сети, притом что устранить их не всегда возможно из-за неизменности. В идеальном мире разработка смарт-контрактов должна осуществляться только опытными программистами, особенно когда речь идет о конфиденциальной информации, персональных данных или больших суммах денег.

Но в реальности очень большой процент ошибок вызван человеческим фактором и уязвимый код является причиной многочисленных рисков. Одна из причин, провоцирующих уязвимости, заключается в сложности проектирования, разработки и тестирования смарт-контрактов. И если для простых смарт-контрактов вероятность ошибки относительно мала, то в сложных смарт-контрактах ошибки встречаются часто. А последствием может быть хищение средств, их заморозка или даже уничтожение смарт-контракта.

Распространенные уязвимости вызваны давно известными чисто программными ошибками.

1. Рекурсивный вызов: смарт-контракт совершает вызов к другому внешнему контракту до того, как изменения были зафиксированы. После этого внешний контракт может рекурсивно взаимодействовать с исходным смарт-контрактом недопустимым способом, так как его баланс еще не обновлен.

2. Целочисленное переполнение: смарт-контракт выполняет арифметическую операцию, но значение превышает емкость хранилища (обычно 18 знаков после запятой). Это может привести к неправильному расчету сумм.

3. Опережение: плохо структурированный код содержит данные о будущих транзакциях, которые могут быть использованы третьими лицами в своих интересах.

Эффективность смарт-контрактов

Оптимизация производительности смарт-контрактов является показателем мастерства разработчика. Некоторые контракты для выполнения своей функции производят сложные серии транзакций, и комиссия за производимые операции становится высокой. Эффективные контракты могут значительно сократить комиссию за транзакции. 

Вопрос комиссии за вычисления в смарт-контрактах тесно связан с безопасностью, ведь ситуация, когда средства навсегда застряли в контракте, с практической точки зрения мало отличается от ситуации, когда их украли.

Виртуальная машина Ethereum

EVM (Ethereum Virtual Machine) – это единый глобальный 256-битный "компьютер", в котором все транзакции хранятся локально на каждом узле сети и исполняются с относительной синхронностью. EVM может выполнять произвольные команды, и в этом кроется его уязвимость: можно подобрать программный код, который приведет к непредвиденным последствиям. Понятно, что уязвимости в EVM могут привести к сбою в работе смарт-контрактов.

Еще одна проблема заключается в том, что можно практическим либо техническим способом подобрать код смарт-контракта, операции которого нагрузят виртуальную машину и замедлят ее непропорционально той комиссии, которая была оплачена за выполнение этих операций. Исследователи борются с такого рода злоупотреблениями, но проблема по прежнему остается актуальной.

Аудит защищенности смарт-контрактов

В качестве ответной меры на возможные риски довольно распространенной услугой стал аудит смарт-контрактов. Аудит безопасности предоставляет подробный анализ смарт-контрактов проекта для защиты вложенных средств. Так как все транзакции в блокчейне являются конечными, вернуть средства в случае кражи невозможно. Единого подхода к аудиту нет, и каждая аудиторская компания выполняет его по своему усмотрению.

Детерминизм исполнения кода смарт-контракта позволяет тестам работать везде, быть крайне простыми в поддержке и делает расследование инцидентов надежным и неоспоримым.

Аудиторы изучают код смарт-контрактов, составляют отчет и предоставляют его команде проекта. Затем выпускается окончательный отчет с подробным описанием всех оставшихся ошибок и работы, проделанной для решения проблем с производительностью и безопасностью. Помимо общих выводов, отчет обычно содержит рекомендации, примеры избыточного кода и полный анализ ошибок кодирования.

Команде проекта дается время, чтобы исправить ошибки, прежде чем будет выпущен окончательный отчет. Большая часть аудита включает проверку контрактов на наличие уязвимостей в системе безопасности. Хотя некоторые проблемы лежат на поверхности, многие ошибки могут быть устранены только с помощью сложных инструментов и стратегий. Например, слабый смарт-контракт может подвергнуться атаке в сочетании с рыночными манипуляциями. Чтобы обнаружить эти проблемы, аудиторы проводят пентесты.

Аудит безопасности смарт-контрактов широко распространен в экосистеме децентрализованных финансов (DeFi). Решение инвестировать в блокчейн-проект может быть частично основано на результатах проверки кода смарт-контракта.

Заключение

Несомненно, смарт-контракты оказали большое влияние на мир криптовалют и, безусловно, произвели революцию в области блокчейн-технологий. Совместный потенциал смарт-контрактов и блокчейна может оказать значительное влияние практически на все сферы жизни общества. Но только время покажет, смогут ли эти инновационные технологии преодолеть барьеры на пути к широкомасштабному внедрению.

Поскольку транзакции блокчейна необратимы, очень важно убедиться в безопасности кода смарт-контрактов. Особенности технологии "блокчейн" затрудняют возврат средств и решение проблем постфактум, поэтому лучше заранее определить потенциальные уязвимости проектов.

Источник: Информационная безопасность

Published in MEDIA ABOUT US

29 июля 2022 года, вышел в свет 3-й номер журнала "Информационная безопасность". В нём была опубликована статья члена АРСИБ, CISA, эксперта по кибербезопасности инфраструктуры блокчейнов и противодействию мошенничеству в сфере оборота криптовалют, Александра Подобных - DeFi: : инкапсулированная угроза децентрализованных финансов (в разделе Технологии \ Криптография).

Децентрализованные финансы (DeFi) – это набор специализированных приложений и финансовых сервисов на основе блокчейна, выстроенный по определенным правилам непрерывной последовательной цепочки блоков, содержащих информацию. Основная идея DeFi – создание независимой и прозрачной финансовой экосистемы, которая не подвержена влиянию регуляторов и человеческого фактора.

DeFi и NFT – две самые быстрорастущие области оборота криптовалют, причем почти половина криптотранзакций включает DeFi, NFT или связанные с ними типы смарт-контрактов. C помощью DeFi финансы становятся доступными кому угодно: пользователи проводят транзакции и решают финансовые вопросы напрямую друг с другом, а не через посредников в лице банков. Программное обеспечение для децентрализованной экосистемы позволяет взаимодействовать покупателям, продавцам, кредиторам и заемщикам. У разработчиков наиболее популярна сеть Etherium, но сервисы DeFi существуют и на других блокчейн-платформах: EOS, Waves, Tron, NEO, Polkadot, Binance Smart Chain.

Разница между централизованной (CeFi) и децентрализованной финансовыми системами заключается в том, как их пользователи достигают своих целей. В CeFi пользователи доверяют людям, стоящим за бизнесом, и регулирующим нормам законодательства. В случае с DeFi пользователи полагаются исключительно на технологии, программный код и алгоритмы шифрования.

В отличие от традиционных централизованных финансовых систем в DeFi майнеры генерируют новые монеты (токены), которые затем попадают в оборот и используются всем сообществом, а деньгами считаются криптовалюты и токены. Инвестиции также осуществляются через токены. Децентрализованные платформы, контролируемые сообществом, отвечают за кредитование.

Функционал обмена активов выполняют децентрализованные биржи, которые не требуют от пользователей предоставления официальных документов и не хранят их данные. Биржа не получает доступ к средствам своих клиентов, то есть реальный обмен происходит без посредника. Токены перемещаются между платформами DeFi с помощью обычных транзакций в блокчейне. Пользователь может забрать токены с одной платформы и инвестировать их в другую.

Важный компонент DeFi – cтейблкоины, это криптовалюты, стоимость которых привязана к тому или иному базовому активу. Например, Tether USDT привязан к курсу доллара США. Но не все так безоблачно. Риски, заложенные в архитектуру DeFi, достаточно серьезны.

Повышенная ответственность пользователей

У независимости есть и обратная сторона: сам владелец токенов и отвечает за их безопасность. Если ключ от кошелька окажется забыт или украден, доступ к активам будет безвозвратно утерян. Поэтому использование DeFi требует от пользователя довольно высокого уровня компетенции не только в части понимания механизмов работы смарт-контрактов, но и в основах информационной безопасности.

Кроме того, никакая организация не несет ответственности за действия участников внутри системы, что в том числе означает и невозможность обслуживания в привычном банковском смысле. Со всеми проблемами пользователь разбирается сам.

Инфраструктурные сбои и взломы смарт-контрактов

Доля средств, украденных с криптовалютных платформ по протоколам DeFi, неуклонно растет с начала 2020 г. По состоянию на середину 2022 г. на протоколы DeFi приходится 97% украденной криптовалюты, что составляет примерно $1,68 млрд. Эксперты считают, что большая часть этих средств досталась хакерским группам, связанным с правительствами.

Дело в том, что при возникновении критической ошибки в любом из протоколов появляется риск уязвимости всей системы, через которую можно проникнуть в любую точку цепи. Так, 10 августа 2021 г. в результате крупной хакерской атаки был взломан межсетевой протокол Poly Network, и злоумышленникам удалось украсть $611 млн. Это на сегодняшний день считается крупнейшей кражей в истории децентрализованных финансов.

Кроме того, рост транзакций DeFi создает новые технические проблемы для исследователей криптовалют и комплаенс-групп, поскольку децентрализованные протоколы и приложения, которые они используют, создают трудно отслеживаемые транзакции, более сложные, чем традиционные централизованные сервисы.

Неопределенность с регулированием DeFi

Изначально децентрализованная архитектура DeFi делает практически невозможным их регулирование со стороны государства. По крайней мере, это невозможно в том виде, в котором происходит регулирование традиционных CeFi. Тем не менее DeFi – это состоявшийся феномен, а государство априори берет на себя задачи предотвращения отмывания денег и финансирования терроризма через любой новый инструмент.

Например, в Минфине России с опасением следят за тем, как развиваются DeFi, в том числе и потому, что в децентрализованных финансах высока вероятность появления финансовых пузырей, которые могут причинить вред национальной экономике.

В России действует закон № 259 от 31.07.2020 г. "О цифровых активах" (ЦФА) , согласно которому с 1 января 2021 г. к выпуску и обороту разрешены только токены, эмитент которых зарегистрируется в ЦБ РФ. Аналогичное разрешение ЦБ должны иметь и торговые платформы. Существуют и другие ограничения вроде максимальной суммы для покупки токенов неквалифицированными инвесторами.

Впрочем, токены DeFi, обращающиеся на публичных блокчейнах, не попадают в предусмотренную законом категорию ЦФА, так как их разработчики вряд ли будут регистрироваться в ЦБ РФ – они останутся в "серой зоне".

18 февраля 2022 г. Минфином направлен в Правительство России проект закона о регулировании криптовалют "О цифровой валюте". В нем указано, что использование цифровых валют в качестве средства платежа на территории РФ будет запрещено. В рамках предлагаемого регулирования цифровые валюты рассматриваются исключительно в качестве инструмента для инвестиций.

Впрочем, специального регулирования для сферы DeFi пока не существует и в других странах, так как даже статус криптовалют еще мало где определен. В странах, где есть регулирование и налогообложение криптоактивов, например в Японии, Австралии, США и некоторых странах ЕС, доходы от DeFi рассматриваются в рамках соответствующего законодательства.

Мошенничество

В 2021 г. злоумышленники похитили более $10 млрд на инвестициях с применением технологии децентрализованных финансов. Мошенники выпускают токены-пустышки и завлекают инвесторов обещаниями чрезвычайно высоких доходов (так называемый Rug Pull). Стандартная схема Rug Pull: дождаться, пока торговля в пуле "разогреется" и цена токена подскочит, а потом вывести всю ликвидность и исчезнуть с деньгами.

В июне 2021 г. был опубликован стандарт ISO 23195:2021 Security Objectives of Information Systems of Third-Party Payment (TPP) Services – "Цели обеспечения безопасности информационных систем сторонних платежных сервисов". Согласно стандарту, провайдер TPP – это услуга, которая дает продавцам возможность принимать онлайн-платежи без необходимости иметь торговый счет. Но когда речь идет о безопасности, факт наличия посредника повышает риск мошенничества при обработке платежа.

ISO 23195 содержит согласованный на международном уровне перечень терминов и определений, две логические структурные модели и перечень целей безопасности. Для обеспечения максимальной актуальности логические структурные модели, активы, угрозы и цели безопасности в этом документе основаны на реальных практиках. Учитывая, что поставщики услуг TPP постоянно стремятся снизить риски мошенничества при проведении платежей, данный стандарт служит хорошим дополнением к уже существующим мерам по обеспечению безопасности платежей.

Низкая производительность DeFi

Блокчейны по своей природе работают медленнее, чем их централизованные аналоги. Поэтому при накоплении большого количества транзакций производительность протоколов DeFi начинает заметно снижаться.

Беспорядочность экосистемы DeFi

Как любая растущая сфера, экосистема DeFi еще не успела полностью сформироваться. Поэтому поиск наиболее подходящего, надежного и защищенного приложения может оказаться довольно сложной задачей. Однако сервисы в области DeFi активно развиваются, их цель – облегчить использование этой технологии и компенсировать ее недостатки, в том числе и в части безопасности.

Заключение

Секрет успеха DeFi в их доступности и автономности: участвовать в создании продуктов DeFi и пользоваться ими может каждый, независимо от гражданства и места жительства, ведь протоколы и экономические модели сервисов открыты для проверки и аудита.

Однако, увеличивающиеся инвестиции в DeFi привлекают внимание все большего количества хакерских групп, что усугубляется технической сложностью этой сферы, не всегда достаточной квалификацией пользователей и отсутствием эффективного регулирования со стороны законодательства.

Источник: Информационная безопасность

Published in MEDIA ABOUT US

7 апреля 2022 года, вышел в свет 1-й номер журнала "Информационная безопасность". В нём была опубликована статья члена АРСИБ, эксперта КОСАтка (SICP) Александра Подобных - Квантовый переход и безопасность блокчейнов (в разделе Технологии \ Криптография).

Квантовые компьютеры – мощные машины, которые могут решать сложные уравнения гораздо быстрее, чем обычные. Эксперты полагают, что квантовые компьютеры способны взламывать системы шифрования за считанные минуты, в то время как обычным на это потребовалось бы несколько тысяч лет. Если эти предположения верны, то под угрозой находится большая часть современной инфраструктуры цифровой безопасности, включая криптографию, лежащую в основе биткоина и криптовалюты в целом.

Учитывая потенциальную угрозу для информационной безопасности, разумно начать разрабатывать способы защиты от возможной атаки в будущем. К счастью, в настоящее время проводится много исследований, по результатам которых могут быть развернуты новые решения в существующих типах систем. Эти решения позволят защитить критически важную инфраструктуру от будущей угрозы со стороны квантовых компьютеров.

Объем данных стремительно растет, а их ценность увеличивается; более 40% данных блокчейн-проектов нуждаются в усиленной защите; криптографическая защита требует наибольшего внимания; квантовые компьютеры представляют реальную угрозу безопасности блокчейн-проектов.

В обозримом будущем наступит Q-day – день, когда большинство современных методов защиты информации станут бесполезны. Квантовые компьютеры смогут чуть ли не моментально подбирать ключи шифрования для популярных криптографических протоколов, а значит, любые данные станут доступны. Уже сейчас высчитывают, какая мощь нужна для взлома алгоритма шифрования биткоина – и хоть таких не будет еще долго, некоторые системы шифрования уязвимы уже сейчас.

В любом случае первоначальные реализации будут гибридными, с использованием постквантовой технологии для дополнительной безопасности поверх существующих систем. Если все пойдет по плану, к тому времени, когда вычислительная техника войдет в свою квантовую эру, Интернет уже будет в постквантовой эре. Тогда для взлома криптосистем квантовым компьютерам потребуется примерно в тысячу раз больше вычислительных компонентов (кубитов), чем сейчас...

Источник: Информационная безопасность

Published in MEDIA ABOUT US

В октябре 2021 года, вышел в свет 4-й номер журнала "Информационная безопасность". В нём была опубликована статья члена правления АРСИБ, независимого эксперта по ИБ в КОСАтка (SICP) Александра Подобных - Блокчейн проникает в экономику (в разделе Технологии \ Криптография).

На протяжении последних пяти лет технология блокчейн активно развивались и совершенствовались с точки зрения безопасности. Все эти изменения происходили при помощи софтфорков – процедур, не подразумевающих внедрение глобальных изменений в работу системы, и хардфорков – процедур внесения серьёзных модификаций, которые кардинально меняют принципы функционирования сети. Кроме того, появились новые форки (Bitcoin – Bitcoin CashEthereum – Ethereum Classic) и новые виды консенсусов. Предлагаю рассмотреть подробнее, какие именно изменения произошли.

Непрерывно появляется множество алгоритмов консенсуса, каждый из которых решает уникальные проблемы того или иного применения блокчейна. Один из первых консенсусов, появившийся благодаря блокчейну биткойна, называется «доказательство выполнения работы» (PoWProof-of-Work). Все алгоритмы консенсусов имеют свои преимущества и недостатки, начиная с необходимости специализированного оборудования и заканчивая высоким энергопотреблением. 

В настоящее время, использование блокчейнов распространилось далеко за пределы финансового сектора – от здравоохранения до сельского хозяйства.

Например, техническое руководство ИСО/ТР 23244 помогает обеспечить ясность в вопросе сохранения конфиденциальности личной информации, зачастую являющейся барьером для принятия блокчейн-решений. Также, на сегодня доступны:

- блокчейн и распределённые реестры: терминология (ИСО 22739:2020);

- рассуждения по защите конфиденциальности и персональных данных (ИСО/ТР 23244:2020);

- обзор и взаимодействие между смарт-контрактами в блокчейнах и распределённых реестрах (ИСО/ТР 23455:2019).

В российском «Мастерчейне» на базе блокчейна Ethereum используется ГОСТ-шифрование с соответствующим процессом идентификации пользователей...

Источник: Информационная безопасность

Журнал: ITSec.ru

Published in MEDIA ABOUT US

О КОСАтка

Корпоративная система аналитики Транзакция Криптовалюта Актив - кибербезопасность инфраструктуры блокчейнов и антифрод в криптовалютной сфере (антискам, прозрачность, комплаенс).

Связаться

Российская Федерация, Москва

Тел.: +7 (911) 999 9868

Факс: 

Почта: cosatca@ueba.su

Сайт: www.ueba.su

Наше сообщество

Зарегистрируйтесь, чтобы получать по почте самую свежую информацию
© 2023 КОСАтка. Все права защищены.                                                                                                                        Грант BTC 1CdD6Xk9RDZ9wyeRqq1uXkktgdaPpGpt8f

Search