區(qū)塊鏈的安全應該如何保證？連WIFI賬號會不會被盜

在移動互聯(lián)網(wǎng)時代，我們在使用與區(qū)塊鏈、數(shù)字資產(chǎn)相關的服務時，常常使用移動客戶端。比如通過一個交易所App，或者錢包App進行數(shù)字資產(chǎn)的交易、轉(zhuǎn)賬，當然，期間必然要經(jīng)過網(wǎng)絡，而正是這個過程中存在這不可忽視的安全問題。

連接WIFI竟然會“丟幣”？

那么，當你要做聯(lián)網(wǎng)操作的時候，你的第一個動作是什么？或許不少人的選擇是找一個WIFI連上，除了家里和公司，就是在機場、咖啡館、餐館等公共場合，相關WIFI接入已經(jīng)非常方便，你需要做的只是通過手機做個驗證碼的確認。

而對于一家公司來說，WIFI更是標配，但是，如果你是一家提供數(shù)字資產(chǎn)服務的公司，你可曾留意公司W(wǎng)IFI布置上的門道？如果一個客戶前來拜訪等待的時候，向前臺詢問連接WIFI，是不是也會配合幫助客戶連上？

事實上，在上述場景中，都可能將用戶、公司的數(shù)字資產(chǎn)安全置于一種危險的境地，特別基于當前很多區(qū)塊鏈行業(yè)App本身的安全缺陷更放大了這種危險。北京鏈安的安全工程師們在日常App安全滲透測試和安全審計過程中發(fā)現(xiàn)經(jīng)常會有交易所和錢包App在網(wǎng)絡傳輸與服務器交互時存在安全隱患，包括使用不安全的 HTTP 協(xié)議傳輸數(shù)據(jù)和使用 HTTPS 協(xié)議時客戶端未校驗證書的正確性導致黑客可通過中間人攻擊監(jiān)聽客戶端 App 的傳輸數(shù)據(jù)并對其進行解密，從而造成敏感信息泄露的隱患，如果這些信息包括密碼、密鑰，后果將非常嚴重。

這是怎么回事呢？為何連接一下WIFI還可能“丟幣”，接下來，就為大家介紹這里面的門道。

什么是“中間人攻擊”？

造成這種威脅的攻擊手段即中間人攻擊，中間人攻擊（Man-in-the-middle Attack 縮寫：MITM）在密碼學和計算機安全領域中是指攻擊者與通訊的兩端分別創(chuàng)建獨立的聯(lián)系，并交換其所收到的數(shù)據(jù)，使通訊的兩端認為他們正在通過一個私密的連接與對方直接對話，但事實上整個會話都被攻擊者完全控制。

在中間人攻擊中，攻擊者可以攔截通訊雙方的通話并插入新的內(nèi)容，也就是說你以為正通過正常的網(wǎng)絡與諸如交易所App的服務器進行通訊，結果其實中間已經(jīng)有人放了個“漁網(wǎng)”，中途會攔截你傳輸?shù)膱笪?，他可能只是看看里面的?nèi)容讓其正常通訊，甚至可能直接干涉這個過程。

為了成為中間人，攻擊者不但要能同時和服務器與客戶端通信，還要介入到服務器和客戶端的通信鏈路之中，將服務器的數(shù)據(jù)轉(zhuǎn)發(fā)給客戶端，將客戶端的數(shù)據(jù)轉(zhuǎn)發(fā)給服務器。實現(xiàn)這樣目的的手段有很多種，比較常見的有 DNS 劫持和局域網(wǎng) ARP 欺騙。

上面我們提及的WIFI連接場景就可能被黑客通過局域網(wǎng) ARP 欺騙造成中間人攻擊。

所謂APR欺騙即攻擊者首先連上WIFI，將自己置于與受害者設備同樣的局域網(wǎng)絡中，然后通過一些黑客工具使得其它設備將攻擊者當做網(wǎng)關從而前來連接，這樣受害者設備的任何網(wǎng)絡通訊流量都將經(jīng)過攻擊者，被其截獲。

以上圖片就是我們的測試，一款交易所App遭到中間人攻擊，其報文信息被攻擊者截獲，其中甚至包括用戶的密碼信息。

“中間人攻擊”的危害有哪些？

在以上過程中，如果這些App本身做了一定的安全防護，比如數(shù)據(jù)的高強度加密，那么還能提高攻擊者進一步作惡的成本。但是，正如我們此前介紹的，區(qū)塊鏈領域的App在這方面的安全工作做的還很不夠，弱加密，甚至就不加密明文傳輸?shù)那闆r時有發(fā)生，而在涉及敏感信息的操作上，依然有一些區(qū)塊鏈App沒有采用安全度更高的HTTPS協(xié)議。

那么，作為一家涉及數(shù)字貨幣服務的公司，中間人攻擊又可能造成怎樣的危害呢？如上所述，如果你的局域網(wǎng)沒有進行相應的安全配置，沒有將辦公網(wǎng)絡與訪客網(wǎng)絡進行隔離，那么黑客就可能通過你的WIFI入侵，進行中間人攻擊，獲取你內(nèi)網(wǎng)環(huán)境下涉及業(yè)務的一系列敏感信息，進而不斷提升攻擊者在內(nèi)網(wǎng)的權限，甚至可能直接接觸你存儲的數(shù)字資產(chǎn)并將其竊取。

是的，以上過程其實就是所謂的APT攻擊，APT攻擊的一大特點就是目標針對性很強，攻擊者往往會做一些前期準備工作，擬定了攻擊目標，并通過技術，甚至社會工程學手段侵入內(nèi)部系統(tǒng)。而侵入內(nèi)部系統(tǒng)的手段也不一定需要“內(nèi)鬼”里應外合，向客服發(fā)一封誤導其點開附件運行木馬代碼的郵件就是常用套路，而通過辦公環(huán)境網(wǎng)絡漏洞進入被攻擊目標內(nèi)網(wǎng)也是一個重要的切入點。

總結一下，中間人攻擊就是一種攻擊者欺騙網(wǎng)絡使用者將其當作網(wǎng)絡連接通道，進而截獲受害者通訊信息的操作，而一旦獲得了這些信息，攻擊者可以進一步解析和破解，進而可能獲得用戶的密碼、密鑰，甚至干涉后續(xù)過程，試想一下如果攻擊者將一個客戶端向服務器發(fā)起的比特幣轉(zhuǎn)賬申請截獲，進而修改接收地址，將會給受害者帶來多么直接的經(jīng)濟損失？

“中間人攻擊”怎么防？

那么，對于中間人攻擊，該如何防范呢？在這里，對三類角色提出了防范建議。

1. 區(qū)塊鏈App的用戶：執(zhí)行一些敏感操作的時候，請謹慎連接公共WIFI網(wǎng)絡。

2. 區(qū)塊鏈App的開發(fā)者：請在客戶端應使用HTTPS協(xié)議傳輸網(wǎng)絡數(shù)據(jù)，并在客戶端中校驗SSL證書的正確性，防止信任偽造證書。

3. 區(qū)塊鏈業(yè)務涉及的公司機構：做好內(nèi)網(wǎng)安全防御，為訪客設立 Guest 賬號和權限，或進行訪客網(wǎng)絡隔離來避免APT攻擊。對于辦公環(huán)境的WIFI設置強類型密碼，同時禁用 WIFI WPS 功能。

以上例子中，我們主要提及的是數(shù)字資產(chǎn)這樣的經(jīng)濟價值更容易直接衡量的場景，事實上，隨著區(qū)塊鏈技術應用到更多行業(yè)，更多敏感數(shù)據(jù)上鏈并在一些業(yè)務中與App通訊，而在諸如企業(yè)的私有鏈、聯(lián)盟鏈場景中，更是會大量涉及基于內(nèi)網(wǎng)環(huán)境的敏感信息傳輸，在這樣的情況下，中間人攻擊將是破壞區(qū)塊鏈價值的重大隱患，需要我們在進行相關系統(tǒng)的開發(fā)和部署中重點防范。

責任編輯 LK