Користувачів SharedCoin Blockchain можна ідентифікувати, каже експерт з безпеки

За словами відомого експерта з безпеки, користувачам Bitcoin , які потребують серйозної Політика конфіденційності транзакцій, слід уникати таких популярних сервісів, як SharedCoin від Blockchain та інших реалізацій CoinJoin.

Консультант Kristov ATLAS, автор книги <a href="http://anonymousbitcoinbook.com/">http://anonymousbitcoinbook.com/</a> Анонімний Bitcoin, опублікував сьогодні пораду щодо безпеки, у якій говориться, що недоліки SharedCoin забезпечують Політика конфіденційності лише від «некваліфікованих дослідників блокчейну Bitcoin » – і навіть тоді лише до тих пір, поки більш складні інструменти аналізу не стануть достатньо зручними для використання середнім користувачем.

Генеральний директор Blockchain Ніколас Кері сказав, що він задоволений дослідженням і тим, як воно було проведено:

«Ми тісно спілкувалися з Крістовим і цінуємо його старанність. Він серйозно ставиться до Політика конфіденційності , і ми теж».

Судоку CoinJoin

Використовуючи програмний інструмент, який він сам створив під назвою «CoinJoin Sudoku», ATLAS проаналізував тисячі транзакцій, визначених як використання SharedCoin, і вирішив, що він може визначити зв’язки між конкретними платежами та одержувачами.

Coinjoin Sudoku

працює шляхом пошуку спільного володіння кількома входами та виходами транзакцій, які SharedCoin використовує для приховування ідентичності, групуючи їх там, де вхідні та вихідні суми збігаються.

Блокчейн

відповів на попередження а публікація в блозі нагадуючи клієнтам, що SharedCoin і CoinJoin пропонують захист лише від «випадкових спостерігачів».

«Вони не заважають цілеспрямованому слідчому співвідносити транзакції або зловмиснику, який має інформацію про конкретні адреси, співвідносити їх із конкретними платежами та одержувачами».

Як працює SharedCoin

Blockchain.info

SharedCoin сервіс є відкритою https://github.com/blockchain/Sharedcoin реалізацією CoinJoin протокол Політика конфіденційності , і його часто називають «мікшером».

У той час як транзакції в блокчейні Bitcoin відкриті для всіх (принаймні на рівні загальнодоступної адреси), SharedCoin збере групу користувачів, які бажають підвищити Політика конфіденційності , і об’єднає свої транзакції в ONE «основну транзакцію», перш ніж транслювати її в мережу.

Транзакція, яка потім з’являється в блокчейні, матиме кілька виходів і входів, що нібито робить її марною для аналізу.

Клієнти можуть вибрати кількість повторів процесу SharedCoin від двох до десяти.

Пропонуючи покращену Політика конфіденційності для користувачів, SharedCoin і сервіси змішування сподіваються краще захистити всіх користувачів, зробивши Bitcoin блокчейн загалом менш надійним інструментом для підключення Bitcoin адрес до окремих осіб.

Потреба в Політика конфіденційності

Блокчейн офіційно почав пропонувати SharedCoin як безкоштовний сервіс для своїх користувачів у листопаді минулого року, приблизно в той час, коли Метт МеллонCoinValidation' та інші сервіси з'явилися, які пообіцяв відстежити конкретні біткойни та адреси, пов’язані з підозрілою чи іншою діяльністю, що заслуговує на розслідування. Однак він не претендував на 100% захист від таких послуг.

Старіші інструменти змішування стилів (також відомі як «тумблери») пересилали платіж на кілька різних адрес, щоб ускладнити пошук ініціатора, як правило, на приватному сервері або «за межами мережі». Однак такі системи вимагали від користувачів довіри до того, що анонімні оператори не просто конфіскують або вкрадуть біткойни до того, як вони вийдуть із міксера.

SharedCoin і сам протокол CoinJoin забезпечили систему, яка вимагала менше довіри до оператора, використовуючи можливість транзакції Bitcoin мати кілька входів і виходів.

Хрускіт через транзакції

ATLAS проаналізував 20 000 транзакцій у 45 блоках ланцюжка блоків Bitcoin і виявив, що приблизно 2,6% відповідають профілю транзакцій SharedCoin.

CoinJoin Sudoku визначив групи в межах транзакції з однаковими сумами (позначеними червоним і синім на діаграмі нижче), а потім перевірив введення та виведення по ONE цифрі, щоб визначити можливі взаємозв’язки.

Наразі, писав він, новий інструмент все ще неефективний і потребує понад 30 годин для завершення аналізу на одному процесорі, навіть з обмеженнями тестування, які він запровадив. Більш ретельна деанонімізація займе набагато більше часу, хоча це залишиться можливим.

«Незважаючи на обмеження, інструмент зміг згрупувати 69% входів і 53% виходів однієї транзакції».

Завдяки такому групуванню він міг ідентифікувати максимум двох користувачів у цій транзакції.

ATLAS рекомендував усім, хто використовує SharedCoin, встановити максимальну кількість циклів до 10, пам’ятаючи, що навіть це не гарантує 100% Політика конфіденційності.

Пляма

Blockchain надає інструмент «Taint Analysis» для перевірки відстеження коштів і призначений для оцінки ефективності міксерів. Якщо це працює, користувачі не зможуть визначити адреси відправлення в списку.

ATLAS стверджує, що Taint Analysis є «поганим вимірюванням» для цього, визначаючи 100% і 50% ймовірність зв’язку між виходом і двома вхідними даними, тоді як Taint Analysis стверджував 4,2% і 4,5% відповідно.

Він планує випустити CoinJoin Sudoku як проект з відкритим кодом через два тижні. За його словами, затримка була зроблена для того, щоб дати користувачам SharedCoin достатній час для вжиття заходів, необхідних для захисту їх Політика конфіденційності.

Відповідь блокчейну

Компанія Blockchain повідомила, що заплатила ATLAS винагороду (через SharedCoin) за виявлення вразливості та працювала з ним, щоб узгодити графік оприлюднення інформації:

«Blockchain.info щиро цінує продуманий характер цього Повідомлення від члена спільноти Крістова ATLAS. Ми з нетерпінням чекаємо співпраці з паном ATLAS та іншими дослідниками безпеки над майбутніми покращеннями та покращеннями SharedCoin».





«Як завжди, Blockchain.info прагне до прозорості, спільноти та покращення Bitcoin сервісів для всіх».

Компанія запросила всіх відвідати її Репозиторій GitHub переглянути численні проекти з відкритим кодом.

«Якщо ви хочете справді приховати транзакції, SharedCoin та інші реалізації CoinJoin не Для вас, вони не є ані достатніми, ані зручними. SharedCoin забезпечує базовий рівень покращеної Політика конфіденційності транзакцій, але T гарантує анонімності, і це не було передбачено».

Основною базою користувачів SharedCoin Blockchain є корпорації, які бажають захистити Політика конфіденційності відомостей про заробітну плату та оплату рахунків, особи, які бажають не показувати записи про зарплати чи чайові, а також політичні та благодійні організації, які захищають своїх донорів.

SharedCoin, за словами Blockchain, насправді «не є сервісом змішування», оскільки він ніколи не контролює та не надсилає жодних коштів від імені своїх користувачів.

Повторюючи попередження, яке часто дають усім, хто стверджує, що платіжна мережа Bitcoin є «анонімною», компанія заявила, що будь-хто з достатнім часом, грошима, мотивацією та обчислювальною потужністю може співвідносити вихідні та вхідні дані транзакцій.

Зображення через igor.stevanovic / Shutterstock