Oflayn hamyonlarni buzgan sid-ibora nuqsoni
Birinchi to‘lqin yigirma besh daqiqada taxminan 500 ta hamyondan 594 BTC — qariyb $38 mln — olib ketdi. Ulardan birortasi ham issiq hamyon emas edi. Birortasi kompyuterga ulanmagan. Bular egalari qo‘llanmadagi hamma narsani bajargan oflayn qurilmalar edi.
Avgust o‘rtalariga kelib umumiy summa 1778 BTC dan oshdi, o‘sha paytdagi kurs bo‘yicha taxminan $112 mln, hozirgi hisob esa $130 mln atrofida. Bu jiddiy buzilishga fishing sayti ham, zararli imzo ham sabab bo‘lmadi — 2021-yilgi proshivka xatosi sabab bo‘ldi: u ba’zi hamyon sidlarini taxmin qilsa bo‘ladigan holga keltirib, apparat hamyon xavfsizligining kafolatlarini tubdan o‘zgartirdi.
Aslida nima buzildi
Hamyon sidi — shaxsiy kalitlarni yaratishda ishlatiladigan dastlabki tasodifiy ma’lumot, va u kriptovalyuta xavfsizligining tayanchi. Sid tasodifiylikdan yaratiladi, tasodifiylik esa entropiya bitlarida o‘lchanadi. Soha standarti — 128 bit, bu raqam to‘liq saralashni hisoblash muammosi emas, fizika muammosiga aylantiradigan darajada katta.
Zarar ko‘rgan qurilmalarda bu raqam taxminan 40 bitgacha tushdi. Qirq bit — fizika muammosi emas. Bu ijaraga olingan quvvat bilan o‘tkazilgan bir tushdan keyingi vaqt.
Voqeani boshqa barcha hamyon tarixlaridan tarkibiy jihatdan ajratib turadigan narsa ham shu. Qurilmadan hech narsa o‘g‘irlanmadi. Hujumchi unga tegmadi ham, PIN kerak bo‘lmadi, ekranni ko‘rmadi. Sid taxmin qilinadigan oraliqda yaratilgach, shaxsiy kalitlarni dunyoning istalgan nuqtasidan tiklash mumkin, egasi esa balans qimirlaguncha hech narsani sezmaydi.
Apparat hamyon xavfsizligi bitta taxminga tayanadi: qurilma ichida yaratilgan raqam uning tashqarisida noma’lum bo‘lib qoladi. Entropiya qulaganda, stekdagi qolgan barcha himoya — xavfsiz element, parol iborasi, PIN, ochishga qarshi to‘r — bezakka aylanadi.
Nega oflayn izolyatsiya yordam bermadi
Oflayn izolyatsiya — qurilmani har qanday tarmoq ulanishidan ajratib, ruxsatsiz kirishning oldini oladigan chora. U aniq bir tahdiddan himoya qiladi: buzilgan kompyuterning kalitlarga yetishidan. Shu ishda u yaxshi ishlaydi.
Ammo tug‘ilishidanoq zaif kalitga qarshi u hech narsa qila olmaydi. Imzolovchi qurilmani seyfga qulflash, folgaga o‘rash, tarmoq yaqinida hech qachon yoqmaslik mumkin — mablag‘ baribir ketadi, chunki hujumchi qurilmaga hujum qilmayapti. U sidni yaratgan matematikaga hujum qilmoqda.
Bu farqni yodda tutgan ma’qul, chunki apparat hamyon xavfsizligi haqidagi maslahatlarning aksariyati hujumchi sizning temiringizga yetishi kerak deb yashirin taxmin qiladi. Sid yaratish — aynan shu kerak bo‘lmaydigan yagona nosozlik rejimi.
Noqulay qismi: nuqson qanday topildi
Coinkite hujumchilar o‘zining ochiq kodli proshivkasining eski versiyalarini sun’iy intellekt yordamida elab, zaif joyni topgan bo‘lishi mumkin deb taxmin qildi.
O‘g‘irliklarni kuzatgan Galaxy Research kampaniyani ataylab, dasturlashtirilgan va ehtimol katta til modeli bilan muvofiqlashtirilgan deb tavsifladi. Avgust boshiga kelib ular 4585 ta manzil bo‘yicha taxminan $88,6 mln ni xaritaga tushirgan; hujumlar uchta yirik to‘lqin va o‘nlab kichikroq hodisa bilan keldi.
Buni diqqat bilan o‘qing. Kod 2021-yildan beri ochiq edi. Inson sharhlovchilar uni yillar davomida ko‘rgan. O‘zgargani kod emas, uni ko‘rib chiqish narxi: model bilan qurollangan hujumchi endi har qanday ochiq proshivkaning har bir tarixiy versiyasini o‘qib chiqa oladi, ilgari esa bu iqtisodiy jihatdan foydasiz edi.
Himoya tomonining kinoyasi shundaki, Coinkite'ning uch haftalik tuzatish auditi ham tashqi tadqiqotchilar bilan birga AI modellaridan foydalandi. Xuddi shu imkoniyat endi chiziqning ikkala tomonida ishlaydi, va sabrliroq tomon yutadi.
Nima tuzatildi
Kompaniya Mk4, Mk5 va Q qurilmalari egalarini 5.6.1 yoki 1.5.1Q proshivkasiga o‘tishga chaqirdi. Chiqarilish tranzaksiyani imzolash, USB ma’lumotlarini qayta ishlash, proshivkani tekshirish, Delta rejimi va hamyon zaxira nusxalarini qamrab oldi.
Eng ko‘p narsani aytadigan o‘zgarish texnik emas, protsedura bo‘yicha: sid yaratish endi foydalanuvchidan tasodifiylikni qo‘lda qo‘shishni talab qiladi, hamyon yaratilgunga qadar eng kam tugma bosish soni kerak. Qurilma endi tasodifiy bo‘lish ishida o‘ziga yolg‘iz ishonmaydi.
Bu o‘rinli tuzatish, ayni paytda u chuqurroq fikrni jimgina tan oladi. Tasodifiylik — xavfsizlik mahsulotida tekshirish eng qiyin bo‘lgan narsa, chunki zaif tasodifiy raqam kuchlisidan ko‘zga hech farq qilmaydi.
Har qanday apparat hamyon egasi uchun bu nimani anglatadi
Coldcard ishlatmaysizmi? Saboq baribir tegishli, chunki apparat hamyon xavfsizligining bu turdagi nosozligi bitta brendga xos emas. Sid yaratadigan har qanday qurilma uni yomon yaratishi mumkin, egasi esa qarab turib buni bilmaydi.
Proshivkani yangilang, lekin yangilanish nima qilishini va nima qilmasligini tushuning. Yangi proshivka kelajakdagi sid yaratishni tuzatadi. U allaqachon zaif yaratilgan sidni tuzatmaydi — o‘sha kalitlar abadiy taxmin qilinadigan bo‘lib qoladi, shuning uchun zarar ko‘rganlar yamoq qo‘yib tinchlanish o‘rniga mablag‘ni ko‘chirishga majbur bo‘ldi.
Sid yaratishni hamyon umrining eng xavfli lahzasi deb biling. U bir marta sodir bo‘ladi, o‘ttiz soniya oladi va undan keyingi hamma narsani belgilaydi. Agar qurilmangiz o‘z entropiyangizni qo‘shish imkonini bersa — zar tashlash, tugma bosish, tanga tashlash — undan foydalaning, hatto teatrdek tuyulsa ham.
Bitta sidni bir necha qurilmada qayta ishlatmang va eski sidni uni qaysi proshivka versiyasi yaratganini bilmay turib yangi temirga tiklamang. Bu voqeada zaif oyna yillar ortga cho‘zildi, ko‘p egalar esa dastlab sozlaganda qaysi versiya ishlaganini allaqachon unutgan.
Mablag‘ni turli vaqtda yaratilgan hamyonlarga bo‘ling, ideal holda turli ishlab chiqaruvchining turli qurilmalarida. Bitta ishlab chiqaruvchi bo‘yicha entropiya xatosi 4585 ta manzilni bir vaqtda olib ketmaguncha, bu ortiqcha shubhadek eshitiladi.
Ta’sirni qanday tekshirish kerak
O‘z apparat hamyon xavfsizligingizni audit qilish model qatoridan emas, aniq qurilmaning proshivka tarixidan boshlanadi. Ishlab chiqaruvchilar qaysi versiyalar zarar ko‘rganini e’lon qiladi; yaratilgan sanangizni o‘sha ro‘yxat bilan solishtirish — yagona ishonchli tekshiruv.
Agar hamyon zarar ko‘rgan oynada yaratilgan bo‘lsa, mablag‘ qimirladimi yoki yo‘qmi — sidni buzilgan deb hisoblang. Hujumchilar ro‘yxat bo‘yicha ishlaydi, tinch manzil esa faqat navbat hali yetmaganini bildiradi.
Yechim — yamoq emas, ko‘chish. Yangilangan proshivkada yangi sid yarating, qabul qilish manzilini qurilma ekranida tekshiring, mablag‘ni ko‘chiring va eski sidni butunlay chiqarib tashlang — zaxira sifatida ham, ehtiyot sifatida ham emas.
Va keyingi firibgarlikdan ehtiyot bo‘ling. Bunday miqyosdagi har bir hodisadan keyin bir necha kun ichida «qaytarish xizmatlari» va soxta ishlab chiqaruvchi qo‘llab-quvvatlashi paydo bo‘ladi, ular qutqaramiz deb da’vo qilayotgan o‘sha sid-iborani so‘raydi.
Kengroq saboq
Ochiq kod ko‘pincha xavfsizlik kafolati deb qabul qilinadi. U kafolat emas. U — sharhning shart-sharoiti, sharh esa alohida ish, uni kimdir haqiqatan bajarishi, moliyalashtirishi va takrorlashi kerak.
Bu proshivka yetti yil davomida ochiq va mashhur edi. Xato baribir omon qoldi, chunki iqtisod o‘zgarmaguncha hech kimda eski kommitlarni qayta o‘qishga sabab bo‘lmadi.
Sezilarli balanslar uchun apparat hamyon xavfsizligi hamon to‘g‘ri standart tanlov — maxsus imzolovchi qurilma bilan o‘z-o‘zini saqlash kalitlarni noutbukda qoldirishdan ancha xavfsiz. Bu voqea tuzatadigan narsa — doimiylik haqidagi taxmin. 2021-yilda xavfsiz bo‘lgan qurilma hozir avtomatik xavfsiz emas, hal qiluvchi audit esa hech kim o‘tkazmagani bo‘lib chiqdi.
Bu apparat hamyonlar xavfsiz emas degani mi?
Yo‘q. Bu apparat hamyon xavfsizligining bitta aniq nosozlik rejimi — zaif sid yaratish — ular beradigan qolgan barcha himoyani yo‘qqa chiqaradi degani. Egalarning ko‘pchiligi uchun apparat hamyon dasturiy saqlashdan ancha xavfsizligicha qoladi; tuzatish — sid yaratish va proshivka kelib chiqishini sozlash mayda-chuydasi emas, xavfsizlik modelining qismi deb bilish.
Sid-iboraga qarab uning entropiyasi pastligini bilib bo‘ladimi?
Yo‘q. Zaif va kuchli sid inson uchun farq qilmaydi, ikkalasi ham o‘n ikki yoki yigirma to‘rtta oddiy so‘z. Nuqsonning yillar davomida sezilmay turgani sababi ham shu.
Proshivkani yangilash mendagi kalitlarni himoya qiladimi?
Yo‘q. Yangilanishlar kelajakdagi sidlar qanday yaratilishini tuzatadi. Zaif yaratilgan sid abadiy zaif qoladi, shuning uchun muammo yamoq bilan emas, tuzatilgan proshivkada yaratilgan hamyonga mablag‘ni ko‘chirish bilan hal qilinadi.
Nega oflayn qurilmalar mablag‘ini yo‘qotdi?
Chunki hujumga qurilmaga yetish umuman kerak bo‘lmadi. Sidlar taxmin qilinadigan oraliqqa tushgach, kalitlarni masofadan tiklash mumkin, shuning uchun jismoniy izolyatsiya bu turdagi nuqsonga hech ta’sir qilmaydi.
AI kodni o‘qiy oladigan bo‘lgach ochiq proshivka xavfliroqmi?
Ochiqroq, xavfliroq emas. Ochiq kodni har kim deyarli nol xarajat bilan tahlil qila oladi, bu esa ikki tomonga ham ishlaydi: himoyachilar ham xuddi shu imkoniyatni oldi, yopiq proshivka esa xatolarni yo‘q qilmaydi, faqat yashiradi.
Hamyon yaratganda o‘z tasodifiyligimni qo‘shish kerakmi?
Ha, qurilma qo‘llab-quvvatlaydigan har qanday holatda. Zar tashlash yoki tugma bosish foydalanuvchi bergan entropiyani generatorga aralashtiradi, shunda ichki manba nuqsonli bo‘lsa ham, u sizning kalitlaringizni yolg‘iz belgilay olmaydi.
EIDEX kripto bozorlari bo‘yicha eksperti va kontent hamda marketing bo‘limi boshlig‘i. Bozor tuzilmasi, birja infratuzilmasi va cross-chain savdo haqida yozadi — on-chain ma’lumotlar va bozor o‘zgarishlarini treyderlar uchun aniq va amaliy tahlilga aylantiradi.
