Blockchains empresariais: isolados, mas vulneráveis

Como você hackeia um blockchain empresarial? Podemos descobrir em breve.

Produtos de blockchain empresarial foram projetadas principalmente como redes privadas, limitadas a partes autorizadas. Isso supostamente as torna mais eficientes do que cadeias públicas como Bitcoin e Ethereum porque menos computadores precisam chegar a um acordo sobre quem possui o quê e, em certo sentido, mais seguras porque os participantes se conhecem.

Esses produtos aplicam Tecnologia originalmente desenvolvida para o Velho Oeste da Criptomoeda a uma série de atividades corporativas nada glamurosas, incluindo transações transfronteiriças, armazenamento de registros e rastreamento de bens e informações. Sua promessa atraiu algumas das maiores corporações e fornecedores de software do mundo.

Mas como qualquer software, eles podem, em teoria, serhackeado, embora a forma de evitar esse hacking T esteja tão bem documentada.

“T me lembro de uma única grande empresa ter anunciado qualquer tipo de perda devido a um hack em uma blockchain privada”, diz Paul Brody, líder global de blockchain da gigante da consultoria EY.

Leia Mais: Conheça a Red Date, a empresa de tecnologia pouco conhecida por trás da grande visão de blockchain da China

Isso pode mudar em um futuro NEAR , à medida que as empresas começarem a tirar esses sistemas controlados do laboratório e colocá-los em uso no mundo real.

“Grandes empresas têm trabalhado em aplicativos de blockchain há alguns anos”, disse Pavel Pokrovsky, líder de blockchain na Kaspersky, fornecedora de software antivírus sediada em Moscou. “Em breve, elas começarão a colocar esses aplicativos em produção e podem enfrentar novos desafios no gerenciamento de seus riscos. À medida que mais soluções desse tipo forem implantadas, os ataques a elas podem se tornar mais frequentes.”

Empregos internos

Um problema é que sistemas privados e autorizados são mais vulneráveis ​​a ameaças internas, disseram Pokrovsky e Brody.

“O risco interno é particularmente alto em blockchains privadas porque o trabalho que normalmente é feito para proteger informações dentro da rede privada é muito baixo em comparação com as redes públicas”, disse Brody, da EY, que foivoz RAREentre as quatro maiores empresas de serviços profissionais emstump para sistemas abertos. “Em redes públicas, fazemos uso extensivo de provas de conhecimento zero e outras ferramentas para KEEP dados sensíveis fora da cadeia.”

Apenas um ou dois clientes corporativos da EY chegaram a esse ponto com redes privadas, ele disse. “Como resultado, se você puder obter acesso à rede ou já a tiver como um insider, quase todos os dados críticos são realmente visíveis para todos os membros.”

Em geral, disse Pokrovsky, o tipo mais comum de ataque que pode teoricamente ser empregado contra uma rede de blockchain empresarial é um ataque de negação de serviço. Isso é diferente de um DDoS, ou negação de serviço distribuída, onde os servidores de uma empresa são inundados com solicitações inúteis que os sobrecarregam.

Leia Mais: Mineradores enganam o protocolo de stablecoin PegNet, transformando US$ 11 em um tesouro de quase US$ 7 milhões

Negação de serviço, por outro lado, é um ataque focado que usa conhecimento – talvez um ex-funcionário – em vez de poder eletrônico.

“Digamos que um funcionário de uma empresa é demitido e fica bravo com seu ex-empregador. Ele vai para a dark web e vende seu conhecimento das vulnerabilidades do sistema para hackers”, disse Pokrovsky.

No caso de blockchains empresariais, um invasor precisaria saber os endereços dos nós e o que pode colocá-los offline.

“Um invasor pode sobrecarregar a capacidade de armazenamento de dados do nó, inundá-lo com cálculos inúteis”, disse Pokrovsky. “Por exemplo, um dos nós de nossos clientes não conseguia processar números muito grandes, digamos, 12 zeros e mais. Eles simplesmente congelariam.”

A cura para esse tipo de ataque é a filtragem adequada dos dados que entram nos nós, ele disse: “É um erro muito comum, não filtrar os dados que chegam.”

Truque barato

Explorar essa vulnerabilidade é fácil quando você sabe onde estão os nós e, diferentemente do DDoS, não é preciso comprar tráfego na forma de bots que inundam seu alvo com tráfego de lixo ou implantar muito hardware para atacar o servidor.

“Você apenas escreve um script simples e o envia para os nós”, disse Pokrovsky. Então os nós ficam offline. Isso pode ser utilizado para propósitos criminosos, desde sabotar um concorrente até ataques terroristas, disse Pokrovsky.

A situação pode ser agravada pelo fato de que a maneira mais conveniente de configurar nós para um blockchain privado é usar a infraestrutura de nuvem para que as empresas T precisem descobrir como configurar um nó físico em seu escritório.

“A maioria dos blockchains privados tem muito poucos nós e, em muitos casos, todos eles residem dentro de uma única infraestrutura de nuvem, criando um único ponto de falha”, disse Brody. “Isso também significa que, longe de serem armazenamentos imutáveis de informações, eles são, na verdade, fáceis de apagar ou desligar.”

Os riscos podem variar. Por exemplo,Masterchain, o blockchain empresarial para bancos desenvolvido sob os auspícios do banco central da Rússia, é um fork, ou cópia modificada, do blockchain Ethereum , que usa um mecanismo de consenso de prova de trabalho. Derrubar nós em tal rede levaria à redistribuição do consenso entre os nós restantes, o que continuaria a validar transações.

No entanto, se todos os nós restantes forem controlados pelo banco central, os participantes da rede podem argumentar que as transações registradas enquanto todos os outros estavam inativos não são legítimas, disse Pokrovsky.

Leia Mais: Projeto DeFi dForce reembolsa todos os usuários afetados após hack de US$ 25 milhões

“DDoS é um ataque fácil e barato de organizar, mas também é fácil de prevenir, e serviços como o Cloudflare podem identificar e efetivamente preveni-lo. Mas a negação de serviço não é identificável pelos filtros que tais serviços usam”, disse Pokrovsky, acrescentando que às vezes os invasores T precisam de um insider para localizar os nós – é possível encontrar tais informações por meio de métodos de inteligência de código aberto.

“É muito difícil consertar essas vulnerabilidades enquanto o ataque está acontecendo, quando tudo está quebrado, todo mundo está correndo e tudo está pegando fogo”, disse ele – é melhor tentar prever essas situações em um ambiente de teste.

Contratos não tão inteligentes

Se um blockchain usa contratos inteligentes, eles também podem ser atacados, disse Pokrovsky.

“Para blockchains empresariais, o ataque típico é quando um contrato contém variáveis que podem se tornar diferentes para cada nó, por exemplo, carimbos de data/hora ou números aleatórios”, ele disse. “Neste caso, cada nó executaria o contrato inteligente com um resultado diferente e a transação não seria registrada no blockchain como resultado.”

Se um contrato inteligente faz referência a documentos, há outra maneira possível de atacá-lo: inserir código malicioso no documento.

Leia Mais: Hacker explora falha na exchange descentralizada de Bitcoin Bisq para roubar US$ 250 mil

“É o mesmo que oAtaque de injeção de SQLe para evitar isso, você precisa filtrar os dados recebidos e limitar o uso de dados externos pelo contrato inteligente”, disse Pokrovsky.

O fato de que a maioria dos blockchains privados T recebe a atenção de uma ampla comunidade de blockchain também é uma fraqueza, disse Brody.

“Talvez o maior risco representado por blockchains privadas seja o risco de complacência”, ele disse. “Código de fonte aberta que T é amplamente usado e T tem uma comunidade vigilante testando e inspecionando é muito menos seguro e confiável do que sistemas como Bitcoin e Ethereum, que são continuamente fortalecidos por ataques quase constantes e inspeção pública.”

O ângulo de Kaspersky

Com o objetivo talvez de ampliar seu fluxo de receita, a Kaspersky passou a atuar em pesquisa e consultoria voltadas para blockchain em 2018, concentrando-se primeiro em blockchains públicas, incluindo Bitcoin e Ethereum.

A Kaspersky vem trabalhando com trocas de Cripto e concluiu uma segurançaauditoria para a empresa de software de negociação Merkeleon em outubro de 2018.

Em outubro de 2019, a Kaspersky começou a trabalhar com blockchains empresariais também. Pokrovsky disse ao CoinDesk que a empresa auditou vários desses sistemas, dos quais ele só conseguiu nomear publicamente dois: a startup de blockchain russa Insolar e a WAVES, que tem sido refocalizandode blockchains públicas para privadas desde o ano passado.

O software Kaspersky foilistadoentre os 10 principais produtos antivírus do mundo pela PC Magazine em março, mas tem sidobanidode ser instalado em computadores do governo dos EUA desde 2017 como parte da resposta dos EUA à intromissão russa na eleição presidencial de 2016. Essa proibição fez com que as vendas despencassem nos EUA e na Europa, mas elas se expandiram na Rússia e também na África. KasperskyrelatadoCrescimento de 4% na receita em 2018.

A auditoria do WAVES Enterprise da Kaspersky levou três meses, de novembro de 2019 ao final de janeiro de 2020. “A tarefa era verificar a segurança dos nós, da infraestrutura de rede e das interfaces da web dos nós”, disse Pokrovsky.

A empresa de segurança executou o que chama de teste de “caixa cinza”, no qual o testador não tem acesso ao código completo da plataforma blockchain, mas tem acesso de nível de administrador ao sistema. Esse tipo de teste mostraria possíveis ameaças internas, como um ex-funcionário se tornando desonesto.

Após o término do teste, a Kaspersky apresenta ao cliente a lista de vulnerabilidades e o cliente as corrige. Então o teste é executado novamente.

Pokrovsky não revelou quais fraquezas precisavam ser “consertadas” no blockchain da WAVES Enterprise. (A WAVES confirmou que contratou a Kaspersky.)