تسريب بيانات السجل: كيف فشلت الخصوصية وكيف يمكن لـ MPC إصلاح ذلك

تي إل. د

في عام 2020، عانت ليدجر، عملاق محفظة الأجهزة الفرنسي الموثوق به من قبل الملايين، من واحدة من أشهر انتهاكات الخصوصية في عالم العملات المشفرة.
على عكس معظم الاختراقات، لم تُسرق أي عملات. لكن العواقب كانت مدمرة بنفس القدر: تم تسريب أسماء وعناوين هواتف وعناوين منازل أكثر من 272,000 عميل على الإنترنت، إلى جانب أكثر من مليون عنوان بريد إلكتروني.

أصبح الاختراق دراسة حالة حول ما يحدث عندما يتم التعامل مع الخصوصية كفكرة لاحقة، ولماذا تُعتبر التقنيات مثل الحوسبة متعددة الأطراف (MPC)، التي يتم تطويرها الآن من قبل مشاريع مثل @ArciumHQ، ضرورية بشكل عاجل لمنع الكارثة القادمة.

------------------------------

كيف حدث ذلك

يوليو 2020: الاختراق الأول

مفتاح API غير مكون بشكل صحيح في نظام التجارة الإلكترونية لشركة ليدجر سمح لمهاجم بالوصول إلى بيانات العملاء. في البداية، اعتقدت ليدجر أن حوالي 9500 عميل قد تعرضوا للاختراق، معظمهم أسماء وعناوين وتفاصيل الطلب. كما تم اختراق حوالي مليون عنوان بريد إلكتروني.

سبتمبر 2020: حادثة insider في Shopify

بعد بضعة أشهر، كشفت Shopify أن موظفين متمردين قد سرقوا بيانات العملاء من عدة تجار. كانت Ledger واحدة منهم. وسعت هذه الحادثة النطاق: حيث أصبحت المزيد من الأسماء وأرقام الهواتف والعناوين في أيدي المجرمين.

ديسمبر 2020: التسريب يصبح علنيًا

في 20 ديسمبر 2020، قام القراصنة بنشر قاعدة بيانات السجل الكاملة على الإنترنت. فجأة، كانت أكثر من 272,000 سجل تفصيلي للعملاء و 1 مليون عنوان بريد إلكتروني متاحة لأي شخص للتنزيل.

أكدت ليدجر الاختراق في بيان من الرئيس التنفيذي لها، لكن بحلول ذلك الوقت كان الضرر قد حدث.
ها هي البيان:

------------------------------

النتائج: كيف أثر ذلك على الخصوصية في العالم الحقيقي

خرق دفتر الأستاذ لم يستنزف المحافظ مباشرة. بدلاً من ذلك، حول العملاء إلى أهداف:

- التصيد: أرسل المحتالون رسائل بريد إلكتروني مقنعة "دعم دفتر الأستاذ"، مما خدع المستخدمين للكشف عن عبارات البذور. فقد العديد أموالهم بهذه الطريقة.

- الابتزاز: تلقى الضحايا رسائل بريد إلكتروني تهدد بالعنف إذا لم يدفعوا ، وغالبا ما يقتبسون عنوان منزلهم لإثبات مصداقيتهم.

- خطر جسدي: أبلغ عدة مستخدمين عن ظهور غرباء في منازلهم أو تهديدهم بالسرقة. امتلاك دفتر أستاذ يعني أنك من المحتمل أن تمتلك عملة مشفرة.

- تبديل الشرائح: مع تسرب أرقام الهواتف، قام المهاجمون باختطاف حسابات وسائل التواصل الاجتماعي أو حسابات التبادل أو البريد الإلكتروني.

- الأثر النفسي: بالإضافة إلى السرقة، فإن الضغط الناتج عن "التسريب الشخصي"، وارتباط هويتك بحيازاتك من العملات المشفرة، قد haunted الآلاف.

كانت الدرسة واضحة: انتهاكات الخصوصية تضرب بقوة أكبر مما يعتقد الناس.

------------------------------

لماذا فشلت الأمان التقليدي

الحقيقة هي أن الأمان الداخلي لـ ledger لم يكن "مخترقًا." المشكلة كانت هيكلية:

- التخزين المركزي: كانت جميع بيانات العملاء موجودة في قواعد بيانات التسويق والتجارة الإلكترونية.

- الوصول إلى البيانات النصية: حتى لو كانت مشفرة عند الراحة، تقوم الأنظمة بفك تشفير البيانات للتشغيل العادي.

- وصول مفرط الحقوق: يمكن أن يستخرج الأشخاص من الداخل أو مفاتيح API المسروقة كل شيء دفعة واحدة.

باختصار، كانت كل الثقة وكل المخاطر مركزة في مكان واحد.

------------------------------

MPC على الخصوصية 1.0

التحليل متعدد الأطراف (MPC) يقدم نهجًا مختلفًا. بدلاً من تخزين البيانات في قاعدة بيانات واحدة، يتم تقسيمها إلى "حصص" تشفيرية عبر خوادم متعددة.
لا ترى أي جهة واحدة البيانات الكاملة.

حتى عند إجراء العمليات الحسابية، تحدث دون إعادة بناء النص الأصلي أو فك تشفير البيانات.

لا يمكن للقراصنة أو المطلعين سرقة ما لا يوجد في مكان واحد.

تخيل لو أن ليدجر استخدمت MPC:

- تسرب مفتاح API سيوفر الوصول إلى الوظائف، وليس قواعد البيانات الخام.

- لم يتمكن المطلعون على شوبيفاي من تصريف قائمة كاملة من الأسماء والعناوين، لأن قائمة كاملة لم توجد في أي نظام واحد.

- حتى حملات التصيد الجماعي كانت ستصبح أصعب، لأن عناوين البريد الإلكتروني لن يتم تخزينها بصيغة نصية.

------------------------------

arcium: جعل MPC واقعاً

بينما كانت MPC موجودة في الأوساط الأكاديمية لعقود، فإنها أصبحت عملية فقط الآن.
أركيوم في طليعة هذا الدفع، حيث تبني شبكة حوسبة سرية لامركزية مصممة خصيصًا لـ MPC.

تشمل الابتكارات الرئيسية:

- arcis DSL: لغة مبنية على Rust لكتابة تطبيقات MPC بدون الحاجة لخبرة عميقة في التشفير.

- بيئات تنفيذ MPC (MXEs): عقد موزعة تقوم بمعالجة البيانات بشكل مشترك دون أن ترى أي عقدة المدخلات الخام.

- توافق الحوافز: حصة المشغلين في الشبكة، مما يجعل التواطؤ مكلفًا.

- قابلية التوسع: من خلال استحواذها على رواد مثل "inpher"، تدمج arcium الاختراقات في الأداء، مما يجعل MPC مناسبًا للتمويل، والذكاء الاصطناعي، وتطبيقات المستهلكين واسعة النطاق.

في الممارسة العملية، يعني ذلك أن شركات مثل ليدجر يمكن أن تبني تتبع الطلبات، دعم العملاء، وحملات التسويق دون الحاجة إلى الكشف عن بيانات العملاء الحساسة للموظفين أو القراصنة.

------------------------------

هذا يتجاوز الدفتر: لماذا تحتاج إلى MPC

ليست دفاتر الأستاذ وحدها. فقد تعرضت خروقات مماثلة لـ:

- مقدمو الرعاية الصحية، تسريب بيانات المرضى.

- الشركات الناشئة المالية، تسرب تاريخ المعاملات.

- الحكومات، تسرب سجلات الناخبين أو الهوية.

في كل حالة، المشكلة الأساسية هي نفسها: التخزين المركزي للبيانات ضعيف، وتنهار الخصوصية عندما يفشل.

MPC يوفر مسارًا للمضي قدمًا:

- للتمويل الرقمي/ويب 3: حماية بيانات المستخدمين مع تمكين الخدمات على السلسلة أو خارج السلسلة.

- لتكنولوجيا المالية والتجارة الإلكترونية: تجنب تخزين عناوين العملاء أو أرقام الهواتف في قواعد بيانات قابلة للاختراق.

- للذكاء الاصطناعي: تدريب النماذج على مجموعات بيانات حساسة (مثل السجلات الطبية) دون الكشف عن الإدخالات الفردية.

------------------------------

الخاتمة:

أظهر اختراق دفتر الأستاذ أن مستخدمي العملات المشفرة لا يواجهون فقط مخاطر خسارة العملات؛ بل يواجهون أيضًا مخاطر فقدان سلامتهم وراحة بالهم.

إذا كانت MPC موجودة في عام 2020، فقد لا يكون تسرب Ledger قد حدث أبداً.
يعتمد مستقبل الويب 3 على تعلم هذا الدرس: الأمان ليس فقط حول حماية العملات، بل حول حماية الناس.

@serloost
@Sobix1313
@aberamaaa
@AdamuJrda1st