lỗ hổng dữ liệu sổ cái: cách mà quyền riêng tư thất bại và cách mà MPC có thể khắc phục nó

tl;dr

Năm 2020, Ledger, gã khổng lồ ví phần cứng của Pháp được hàng triệu người tin tưởng, đã chịu một trong những vụ rò rỉ quyền riêng tư nổi tiếng nhất trong thế giới tiền điện tử.
khác với hầu hết các vụ hack, không có đồng coin nào bị đánh cắp. nhưng hậu quả thì cũng tàn phá không kém: hơn 272.000 tên khách hàng, số điện thoại và địa chỉ nhà bị rò rỉ trực tuyến, cùng với hơn một triệu địa chỉ email.

vụ vi phạm đã trở thành một nghiên cứu điển hình về những gì xảy ra khi quyền riêng tư được coi là một điều suy nghĩ sau, và tại sao các công nghệ như tính toán đa bên (MPC), hiện đang được thúc đẩy bởi các dự án như @ArciumHQ, là vô cùng cần thiết để ngăn chặn thảm họa tiếp theo.

------------------------------

cách nó xảy ra

tháng 7 năm 2020: vụ vi phạm đầu tiên

một khóa API cấu hình sai trong hệ thống thương mại điện tử của ledger đã cho phép một kẻ tấn công truy cập vào dữ liệu của khách hàng. ban đầu, ledger tin rằng chỉ khoảng 9.500 khách hàng đã bị lộ, chủ yếu là tên, địa chỉ và chi tiết đơn hàng. khoảng 1 triệu địa chỉ email cũng đã bị xâm phạm.

tháng 9 năm 2020: sự cố Shopify Insider

Vài tháng sau, Shopify tiết lộ rằng hai nhân viên bất chính đã đánh cắp dữ liệu khách hàng từ nhiều thương gia. Ledger là một trong số đó. Sự cố này đã mở rộng phạm vi: far more names, phone numbers, and addresses đã nằm trong tay tội phạm.

tháng 12 năm 2020: vụ rò rỉ được công khai

Vào ngày 20 tháng 12 năm 2020, các hacker đã đăng tải toàn bộ cơ sở dữ liệu sổ cái lên mạng. Đột nhiên, hơn 272.000 hồ sơ khách hàng chi tiết và 1 triệu địa chỉ email đã có sẵn cho bất kỳ ai tải xuống.

sổ cái đã xác nhận vụ vi phạm trong một tuyên bố từ giám đốc điều hành của mình, nhưng đến lúc đó thiệt hại đã xảy ra.
đây là tuyên bố:

------------------------------

hậu quả: điều này đã ảnh hưởng đến quyền riêng tư trong thế giới thực như thế nào

lỗ hổng sổ cái không làm cạn kiệt ví trực tiếp. thay vào đó, nó biến khách hàng thành mục tiêu:

- lừa đảo: kẻ lừa đảo đã gửi những email giả mạo "hỗ trợ sổ cái", lừa người dùng tiết lộ cụm từ hạt giống. nhiều người đã mất tiền theo cách này.

- tống tiền: nạn nhân nhận được email đe dọa bạo lực nếu họ không trả tiền, thường trích dẫn địa chỉ nhà của họ để chứng minh tính xác thực.

- nguy hiểm vật lý: một số người dùng báo cáo rằng có người lạ xuất hiện tại nhà của họ hoặc đe dọa cướp. sở hữu một ledger có nghĩa là bạn có khả năng nắm giữ crypto.

- sim swaps: với số điện thoại bị rò rỉ, kẻ tấn công đã chiếm đoạt tài khoản mạng xã hội, sàn giao dịch hoặc email.

- gánh nặng tâm lý: ngoài việc bị đánh cắp, áp lực của việc bị "doxxed", có danh tính gắn liền với tài sản crypto của bạn, đã ám ảnh hàng nghìn người.

bài học rất rõ ràng: các vi phạm quyền riêng tư ảnh hưởng nặng nề hơn những gì mọi người nghĩ.

------------------------------

tại sao an ninh truyền thống thất bại

sự thật là bảo mật nội bộ của ledger không bị "bẻ gãy." vấn đề là cấu trúc:

- lưu trữ tập trung: tất cả dữ liệu khách hàng đều nằm trong cơ sở dữ liệu marketing và thương mại điện tử.

- truy cập văn bản: ngay cả khi được mã hóa khi nghỉ, các hệ thống đã giải mã dữ liệu cho các hoạt động bình thường.

- quyền truy cập quá mức: người trong cuộc hoặc khóa API bị đánh cắp có thể trích xuất mọi thứ cùng một lúc.

nói ngắn gọn, tất cả niềm tin và tất cả rủi ro đều tập trung ở một nơi.

------------------------------

MPC over privacy 1.0

tính toán đa bên (MPC) cung cấp một cách tiếp cận khác. Thay vì lưu trữ dữ liệu trong một cơ sở dữ liệu, nó được chia thành các "mảnh" mật mã trên nhiều máy chủ.
không bên nào nhìn thấy toàn bộ dữ liệu.

ngay cả khi các phép toán được thực hiện, chúng diễn ra mà không cần tái cấu trúc văn bản gốc hoặc giải mã dữ liệu.

tin tặc hoặc nhân viên nội bộ không thể đánh cắp những gì không tồn tại ở một nơi.

hãy tưởng tượng nếu ledger đã sử dụng MPC:

- một lỗ hổng khóa API sẽ cho phép truy cập vào các chức năng, không phải cơ sở dữ liệu thô.

- những người trong cuộc của shopify không thể công bố một danh sách đầy đủ các tên và địa chỉ, vì không có danh sách đầy đủ nào tồn tại trong bất kỳ hệ thống nào.

- thậm chí các chiến dịch lừa đảo hàng loạt sẽ khó khăn hơn, vì địa chỉ email sẽ không được lưu trữ dưới dạng rõ ràng.

------------------------------

arcium: biến MPC thành hiện thực

Trong khi MPC đã tồn tại trong học thuật hàng thập kỷ, thì giờ đây nó mới trở nên thực tiễn.
arcium đang đi đầu trong nỗ lực này, xây dựng một mạng lưới tính toán bảo mật phi tập trung được tối ưu hóa cho MPC.

các đổi mới chính bao gồm:

- arcis DSL: một ngôn ngữ dựa trên rust để viết các ứng dụng MPC mà không cần kiến thức sâu về mật mã.

- Môi trường thực thi MPC (MXEs): các nút phân tán cùng xử lý dữ liệu mà không nút nào nhìn thấy các đầu vào thô.

- điều chỉnh động lực: cổ phần của các nhà điều hành trong mạng lưới, làm cho việc thông đồng trở nên tốn kém.

- khả năng mở rộng: bằng cách tiếp nhận các tiên phong như "inpher", arcium tích hợp những bước đột phá về hiệu suất, khiến MPC phù hợp cho tài chính, AI và các ứng dụng tiêu dùng quy mô lớn.

trong thực tế, điều này có nghĩa là các công ty như ledger có thể xây dựng theo dõi đơn hàng, hỗ trợ khách hàng và các chiến dịch tiếp thị mà không bao giờ phải tiết lộ dữ liệu nhạy cảm của khách hàng cho nhân viên nội bộ hoặc hacker.

------------------------------

điều này vượt qua sổ cái: tại sao bạn cần MPC

ledger không phải là đơn độc. Những vi phạm tương tự đã xảy ra với:

- nhà cung cấp dịch vụ y tế, rò rỉ dữ liệu bệnh nhân.

- các startup tài chính, rò rỉ lịch sử giao dịch.

- chính phủ, rò rỉ hồ sơ cử tri hoặc ID.

Trong mọi trường hợp, vấn đề cốt lõi là giống nhau: lưu trữ dữ liệu tập trung là yếu, và quyền riêng tư sụp đổ khi chúng thất bại.

MPC cung cấp một con đường tiến về phía trước:

- cho crypto/web3: bảo vệ dữ liệu người dùng trong khi vẫn cho phép các dịch vụ on-chain hoặc off-chain.

- cho fintech & thương mại điện tử: tránh lưu trữ địa chỉ khách hàng hoặc số điện thoại trong các cơ sở dữ liệu dễ bị hack.

- cho AI: huấn luyện các mô hình trên các tập dữ liệu nhạy cảm (như hồ sơ y tế) mà không tiết lộ các mục cá nhân.

------------------------------

kết luận:

cuộc tấn công vào sổ cái cho thấy rằng người dùng tiền điện tử không chỉ có nguy cơ mất coin; họ còn có nguy cơ mất an toàn và sự yên tâm.

nếu MPC đã được áp dụng vào năm 2020, vụ rò rỉ Ledger có thể đã không xảy ra.
tương lai của web3 phụ thuộc vào việc học bài học này: an ninh không chỉ là bảo vệ đồng tiền, mà còn là bảo vệ con người.

@serloost
@Sobix1313
@aberamaaa
@AdamuJrda1st