Sicherheitsbedrohungen und Gegenmaßnahmen für öffentliche Blockchains

Öffentliche Blockchain ohne Erlaubnis bieten aufgrund der niedrigen Eintrittsbarrieren eine Vielzahl von Bedrohungsmöglichkeiten. Dieser Blog ist inspiriert von diesem neuesten Artikel.

DNS-AngriffeDies ist häufig auf eine Cachevergiftung zurückzuführen, die sich hauptsächlich auf Knoten auswirkt, die DNS-Bootstrap zum Abrufen von Online-Peers verwenden. Eine Gegenmaßnahme ist eine DNS-Sicherheitserweiterung namens DNSSEC, die Authentifizierung und Datenintegrität bietet. Neben dem Standard-DNS kann die Namensauflösung auch über alternative DNS-Server erfolgen.

Routing-Angriffesind Umleitungen von Verkehrswegen, Hijacking oder DoS-Angriffe. Neben dem einfachen Abhören oder Ändern von Daten können diese Angriffe zu einer Netzwerkpartitionierung führen, was wiederum das Risiko von 51% -Angriffen oder selbstsüchtigen Mining-Angriffen erhöht Gegenmaßnahmensind mehrfach vernetzte Knoten (oder verwenden VPN) für die Routenvielfalt, wählen zusätzliche Peers aus, deren Verbindungen nicht über dieselben AS laufen, bevorzugen Peers, die auf demselben AS mit demselben / 24-Präfix gehostet werden (um das Risiko von Partitionen zu verringern), und Abrufen des gleichen Blocks von mehreren Peers. Eine weitere Minderung ist SABRE, ein sicheres Relay-Netzwerk, das neben dem Bitcoin-Netzwerk ausgeführt wird. Das BGPsec ist eine Sicherheitserweiterung für das BGP, das zwischen benachbarten AS verwendet wird, und bietet die Sicherheit der Routenherkunft und -weitergabe durch kryptografische Überprüfung.

Eclipse-AngriffeZiel ist es, alle Verbindungen eines Knotens zum Blockchain-Netzwerk zu hijacken. Folglich unterliegt der gesamte vom Knoten empfangene und gesendete Datenverkehr der vollständigen Kontrolle des Angreifers. Eclipse-Angriffe entstehen durch Bedrohungen von DNS und Routing im Netzwerk und können auf Schwachstellen in P2P-Protokollen zurückzuführen sein. Eclipse-Angriffe erhöhen die Wahrscheinlichkeit von selbstsüchtigen Bergbau- und Doppelausgabenangriffen – die Eclipse-Opfer können für die Kette eines Angreifers stimmen. Gegenmaßnahmen: Die Verbesserung der Zufälligkeit bei der Auswahl von Peers wurde in Papierform durch mehrere Regeln vorgeschlagen, die die Peer-Tabelle verwalten. Eine andere Abwehrstrategie gegen Eclipse-Angriffe besteht darin, redundante Netzwerkverbindungen oder Out-of-Band-Verbindungen zu verwenden, um Transaktionen zu überprüfen (z. B. durch einen Blockchain-Explorer). Beachten Sie außerdem, dass auch hier Gegenmaßnahmen für DNS- und Routing-Angriffe gelten.

DoS-AngriffeBei Konnektivität von Konsensusknoten kann dies zu einem Verlust der Konsensusleistung führen, wodurch verhindert wird, dass Konsensusknoten belohnt werden. Bei der Überprüfung von Knoten führt dieser Angriff zu einer Unterbrechung einiger blockchain-abhängiger Dienste. Gegenmaßnahmen:Eine Minderung besteht darin, nur mit Knoten auf der weißen Liste zu vergleichen. Zu den Methoden zur Verhinderung von volumetrischem DDoS gehören die On-Premise-Filterung (dh mit einem zusätzlichen Netzwerkgerät), die Cloud-Filterung (dh die Umleitung des Datenverkehrs durch eine Cloud, wenn DDoS erkannt wird, oder durch einen Cloud-DDoS-Abschwächungsdienst) oder die Hybrid-Filterung (dh Kombinationen der beiden vorhergehenden).

DoS-AngriffeBei Ressourcen wie Arbeitsspeicher und Speicher kann dies die Peering- und Konsensfähigkeit von Knoten beeinträchtigen. Ein Beispiel für einen Angriff ist die Überflutung des Netzwerks mit Transaktionen mit geringen Gebühren (a.k.a., Penny-Flooding), die zur Erschöpfung des Speicherpools führen und zu einem Systemabsturz führen können. Eine mögliche Minderung besteht darin, die Mindesttransaktionsgebühr und das Ratenlimit auf die Anzahl der Transaktionen anzuheben. Für Bitcoin-Knoten werden verschiedene Schadensbegrenzungstechniken angewendet, darunter das Bewerten von DoS-Angriffen und das Verbieten von Peers, die sich schlecht benehmen. DoS-Angriffe können auch auf zentralisierte Elemente der Blockchain-Infrastruktur abzielen, z. B. Server, die mit gehosteten Wallets kommunizieren, was wiederum zu Angriffen auf Anwendungsebene auf Clients der Wallets führen kann.

Identitätsoffenbarende Angriffewerden durchgeführt, indem die IP-Adresse eines Knotens mit einer Identität verknüpft wird, die in Transaktionen weitergegeben wird. Eine Verkehrsanalyse mit Sybil-Listenern kann die Verknüpfung von Knoten-IP-Adressen und deren Transaktionen aufdecken. Gegenmaßnahmen Dazu gehören die Verwendung von VPNs oder Anonymisierungsdiensten wie Tor.