defter veri sızıntısı: gizliliğin nasıl başarısız olduğu ve MPC'nin bunu nasıl düzeltebileceği

kısaca

2020 yılında, milyonlarca kişinin güvendiği Fransız donanım cüzdanı devi Ledger, kriptonun en ünlü gizlilik ihlallerinden birini yaşadı.
çoğu hack olayının aksine, hiçbir coin çalınmadı. ancak sonuçlar tam olarak aynı derecede yıkıcıydı: 272,000'den fazla müşterinin isimleri, telefon numaraları ve ev adresleri çevrimiçi sızdırıldı, bunun yanında bir milyondan fazla e-posta adresi.

ihlal, mahremiyetin bir düşünce tarzı olarak ele alındığında neler olabileceğine dair bir vaka çalışması haline geldi ve @ArciumHQ gibi projeler tarafından şimdi geliştirilen çoklu taraflı hesaplama (MPC) teknolojilerinin bir sonraki felaketi önlemek için acilen neden gerekli olduğunu gösterdi.

------------------------------

nasıl oldu

Temmuz 2020: İlk ihlal

Ledger'in e-ticaret sistemindeki yanlış yapılandırılmış bir API anahtarı, bir saldırganın müşteri verilerine erişmesine izin verdi. İlk başta, Ledger'in yalnızca yaklaşık 9,500 müşterinin, çoğunlukla isimler, adresler ve sipariş detaylarıyla ifşa edildiğini düşündü. Yaklaşık 1 milyon e-posta adresi de tehlikeye atıldı.

eylül 2020: shopify içgörü olayı

birkaç ay sonra, shopify iki asi çalışanın birçok tüccardan müşteri verilerini çaldığını açıkladı. ledger bunlardan biriydi. bu olayın kapsamı genişledi: artık çok daha fazla isim, telefon numarası ve adres suçlu ellerdeydi.

aralık 2020: sızıntı kamuya açık hale geliyor

20 Aralık 2020'de, hackerlar tam defter veritabanını çevrimiçi olarak sızdırdı. Aniden, 272.000'den fazla detaylı müşteri kaydı ve 1 milyon e-posta adresi herkesin indirmesi için ücretsiz hale geldi.

ledger, CEO'sundan yaptığı bir açıklamada ihlali doğruladı, ama o zamana kadar zarar verilmişti.
işte beyan:

------------------------------

sonrası: bunun gerçek dünyada gizliliği nasıl etkilediği

defter ihlali cüzdanları doğrudan boşaltmadı. bunun yerine, müşterileri hedef haline getirdi:

- phishing: dolandırıcılar, kullanıcıları seed phrase'lerini açığa çıkarmaya kandırmak için inandırıcı “ledger destek” e-postaları gönderdiler. birçok kişi bu şekilde fonlarını kaybetti.

- zorbalık: mağdurlar, ödenmezse şiddetle tehdit eden e-postalar aldılar, genellikle güvenilirliği kanıtlamak için ev adreslerini alıntı yapıyorlardı.

- fiziksel tehlike: birçok kullanıcı, evlerinde yabancıların belirdiğini veya soygun tehdidi aldıklarını bildirdi. bir defter sahibi olmak, muhtemelen kripto para bulundurduğunuz anlamına geliyordu.

- sim takası: telefon numaraları sızdırıldığında, saldırganlar sosyal medya, borsa veya e-posta hesaplarını ele geçirdi.

- psikolojik yük: hırsızlık ötesinde, "doxxed" olmanın stresi, kimliğinizin kripto varlıklarınıza bağlı olması, binlerce kişiyi rahatsız etti.

ders açıktı: gizlilik ihlalleri insanların düşündüğünden daha sert vuruyor.

------------------------------

neden geleneksel güvenlik başarısız oldu

gerçek şu ki, ledger'in iç güvenliği "kırılmadı." sorun yapısaldı:

- merkezi depolama: tüm müşteri verileri pazarlama ve e-ticaret veritabanlarında yaşıyordu.

- düz metin erişimi: dinlenme durumunda şifrelenmiş olsa bile, sistemler normal işlemler için verileri çözüyor.

- aşırı ayrıcalıklı erişim: içerdekiler veya çalınmış API anahtarları her şeyi birden çıkarabilir.

kısacası, tüm güven ve tüm risk bir yerde yoğunlaşmıştı.

------------------------------

MPC üzerinde gizlilik 1.0

çok partili hesaplama (MPC) farklı bir yaklaşım sunar. veriler tek bir veritabanında saklamak yerine, birden fazla sunucuya kriptografik "paylara" bölünür.
hiçbir taraf tam veriyi görmez.

hesaplamalar yapıldığında bile, açık metni yeniden oluşturmadan veya verileri şifre çözmeden gerçekleşir.

hackler veya içerden biri, bir yerde var olmayanı çalamaz.

hayal et, eğer ledger MPC kullanmış olsaydı:

- bir API anahtar sızıntısı, ham veritabanlarına değil, işlevlere erişim sağlar.

- Shopify içindekiler, tam bir isimler ve adresler listesi paylaşamadı, çünkü hiçbir sistemde tam bir liste mevcut değildi.

- hatta kitlesel oltalama kampanyaları daha zor olurdu, çünkü e-posta adresleri düz metin olarak saklanmazdı.

------------------------------

arcium: MPC'yi gerçeğe dönüştürüyor

MPC'nin akademide on yıllardır var olmasına rağmen, şimdi pratik hale gelmeye başlıyor.
arcium, MPC için optimize edilmiş merkezi olmayan gizli bilgi işlem ağı inşa ederek bu itişin ön saflarında yer alıyor.

ana yenilikler şunlardır:

- arcis DSL: derin kriptografi uzmanlığı olmadan MPC uygulamaları yazmak için kullanılan rust tabanlı bir dildir.

- MPC yürütme ortamları (MXEs): ham girdileri görmeden verileri birlikte işleyen dağıtık düğümler.

- teşvik uyumu: operatörlerin ağdaki payı, işbirliğini pahalı hale getiriyor.

- ölçeklenebilirlik: "inpher" gibi öncüler edinerek, arcium performans atılımlarını entegre ediyor ve MPC'yi finans, AI ve büyük ölçekli tüketici uygulamaları için uygun hale getiriyor.

pratikte, bu, ledger gibi şirketlerin hassas müşteri verilerini içerden çalışanlara veya hackerlara asla açmadan, sipariş takibi, müşteri desteği ve pazarlama kampanyaları oluşturabileceği anlamına geliyor.

------------------------------

bu defterin ötesine geçiyor: neden MPC'ye ihtiyacınız var

defter yalnız değil. Benzer ihlaller şunları hedef aldı:

- sağlık hizmeti sağlayıcıları, hasta verilerini sızdırıyor.

- finansal girişimler, işlem geçmişlerini sızdırıyor.

- hükümetler, seçmen veya kimlik kayıtlarını sızdırıyor.

her durumda, kök sorun aynıdır: merkezi veri depolama zayıftır ve başarısız olduklarında gizlilik çöker.

MPC, bir ilerleme yolu sunuyor:

- kripto/web3 için: kullanıcı verilerini korurken aynı zamanda on-chain veya off-chain hizmetlerine olanak tanımak.

- fintech & e-ticaret için: müşteri adreslerini veya telefon numaralarını hacklenebilir veritabanlarında saklamaktan kaçının.

- AI için: bireysel kayıtları ifşa etmeden tıbbi kayıtlar gibi hassas veri setlerinde model eğitimi yapın (.

------------------------------

sonuç:

defter hack'i, kripto kullanıcılarının sadece coin kaybetme riski taşımadığını; aynı zamanda güvenliklerini ve huzurlarını kaybetme riskiyle de karşı karşıya olduklarını gösterdi.

eğer MPC 2020'de mevcut olsaydı, Ledger sızıntısı asla gerçekleşmeyebilirdi.
web3'ün geleceği bu dersi öğrenmeye bağlı: güvenlik sadece paraları korumakla ilgili değil, insanları korumakla ilgilidir.

@serloost
@Sobix1313
@aberamaaa
@AdamuJrda1st