Сильная распределённая атака отказов в обслуживании (DDoS) накрыла несколько крупных сайтов —Twitter, Amazon, издание New York Times, даже WIRED—все они в октябре ушли в оффлайн. Целью атаки не был конкретно какой-либо из этих сайтов, скорее, они целились в Dyn, компанию, которая обеспечивает услуги DNS для каждого из этих сайтов. Dyn это одно из многих уязвимых, централизованных пропускных мест в инфраструктуре веба; целевая атака на эту компанию позволила хакерам моментально отключить большой кусок всемирной Сети для людей на всей территории США. Такая атака это тревожный случай и она должна послужить предупреждением: наша цифровая инфраструктура является более хрупкой, чем мы привыкли думать.
Избранный недавно Президент Дональд Трамп собирается «улучшить кибербезопасность», и он говорит, что серьёзно настроен найти решения для того, чтобы цифровая инфраструктура государства стала более безопасной. Часто пропускаемое (или игнорируемое) решение достойно рассмотрения: открытые сети на блокчейне, такие, как биткоин, Эфириум и Zcash.
До некоторой степени открытые сети на основе блокчейна похожи на те технологии, которые используют Dyn и другие традиционные провайдеры инфраструктуры. Так же, как и в случае использования централизованного сервера DNS, открытые сети на блокчейне отслеживают важные данные и защищают эти данные от вредоносного или мошеннического вмешательства. Для таких криптовалют, как биткоин, этими данными является список денежных транзакций между пользователями биткоина. Однако открытые сети на блокчейне могут также использоваться для безопасной записи любой другой информации, например, идентификационных записей DNS умных устройств и прав доступа пользователей Интернета вещей. Важное отличие новой технологии от систем, которые используются сейчас, заключается в способе обеспечения безопасности записей.
Старая стратегия кибербезопасности называется безопасностью периметра. Собираетесь что-либо защитить? Существуют внешние угрозы? Постройте периметр—(кто сказал «стену»)? — и не пускайте злодеев. Оказывается, этот подход работает не очень хорошо, поскольку периметры неизбежно нарушаются. При этом атакующим достаточно проникнуть один раз, чтобы установить над системой полный контроль, украсть потенциально уязвимые данные (как происходит в случае атак на пользователей кредитных карт и атак с внедрением программ-вымогателей) или получить доступ к управлению мощным оборудованием (в том числе даже атомными реакторами).
Открытые сети на основе блокчейна используют подход к безопасности, который в корне отличается от модели периметра. Не существует периметра вокруг протокола Биткоина. Это программное обеспечение с открытым исходным кодом, который может проверить любой желающий. Сообщение о транзакции Биткоина передаётся через Интернет в открытом для просмотра виде, и это сеть одноранговая: построенная из компьютеров незнакомых между собой людей!
Несмотря на эту открытость, запись всех транзакций Биткоина —легендарный блокчейн — никогда в жизни не был взломан. Однако блокчейн это просто структура данных, всего лишь единички и нули. Действительно революционным в Биткоине является механизм консенсуса, который помогает всем компьютерам в сети прийти к согласию о том, какие новые данные являются подлинными и готовыми для включения в блокчейн, а какие данные являются попыткой вторжения и отбрасываются.
Частные блокчейны, которые применяют банки, используют механизм консенсуса напрямую: они позволяют вносить новые данные только идентифицированным пользователям. Здесь используется та же модель безопасности периметра, с теми же, присущими ей недостатками. Если вы украли учётные данные банков-участников, то можете внести изменения в правила консенсуса.
Биткоин, так же, как Эфириум и Zcash (две новые децентрализованные вычислительные сети, которые позаимствовали у Биткоина его основную технологию), действуют кардинально другим способом. Они позволяют любому желающему добавлять данные в блокчейн, если этот желающий принёс сети достаточно дорогостоящую жертву. Это звучит, как культ вуду, однако здесь действует чистая экономика: докажите, что вы серьёзный участник сети, решая сложную вычислительную задачу (которую компьютерные специалисты называют «доказательством работы»), и вам разрешат добавлять к цепочке новые блоки. Открытый механизм консенсуса не имеет дискриминации по личным данным, учётным данным или месту проживания. Ему нужно только ваше участие в игре. Поэтому единственный путь атаковать сеть это инвестировать в её расчёты, а в таком случае атака будет противоречить вашему экономическому интересу. Именно этот механизм консенсуса, основанный на доказательстве работы, делает Биткоин стойким к атакам, и старая модель безопасности периметра уже под вопросом.
Рассмотрим, как другая модель безопасности, не использующая охрану периметра, могла бы остановить атаку на Dyn. Dyn это провайдер DNS, а это значит, что он хранит записи о том, какое доменное имя (например, Amazon.com) связано с IP адресом (например, 54.239.25.208, серверы Amazon). Когда Dyn был атакован, записи, необходимые для перевода набранного в строке браузера Интернет адреса в понятный для машин адрес, потерялись, и как результат, все эти сайты перестали загружаться.
Так же, как и любой другой DNS провайдер (и большинство веб сервисов в целом), Dyn использует модель безопасности периметра. Построить стену вокруг чувствительных данных — в нашем случае записей DNS — и молитесь, чтобы она выдержала атаки. Хакеры нарушили эту стену лавиной сообщений (DDoS атака), и результатом стала временная потеря данных, критически важных для работы сети Интернет. Записи DNS не являются более сложными, чем транзакции Биткоина: мы хотим знать, кто обладает каким доменом, и нам нужна только возможность того, чтобы пользователь, на законных основаниях владеющий доменом, мог передать его кому-нибудь ещё.
Данная критически важная система легко могла бы работать за пределами охраняемого периметра, в открытой сети на основе блокчейна. Открытое сообщество пользователей компьютеров может работать вместе, чтобы сформировать децентрализованный сервис DNS. Любой желающий, которого интересует возможность хранить и проверять данные DNS, может запустить нужное для этого программное обеспечение, присоединиться к одноранговой сети, скачать копию совместно сохраняемого сетью блокчейна с записями DNS, проверить и подтвердить или отвергнуть новые запросы на внесение изменений в эти записи, и получить небольшое вознаграждение в цифровой валюте за работу на общественное благо. Занять свободный домен будет так же легко: попросите сеть о возможности добавления вашего домена в DNS, а покупка или продажа существующих доменов также будет осуществляться между участниками сети. Внесение любых изменений в записи, вероятно, потребует уплаты сбора, так же, как мы сегодня платим сбор за регистрацию доменов, однако такие комиссии могли бы поступать участникам открытого сообщества, вместо того, чтобы обогащать одну компанию. Открытая сеть на основе блокчейна может противостоять таким атакам, которым подвергался Dyn, так как здесь нет центральной точки отказа. У каждого из участников будет храниться своя копия записей.
Нет единой цели для нападения, а значит, нет возможностей для взлома. Таким образом, говоря словами участника команды Трампа, Руди Джулиани, мы получим реальное «целостное решение проблемы безопасности.» Новая администрация должна сделать всё, что она может, чтобы гарантировать работу новых технологий в США не ограничивая их лишними инструкциями и правилами. Может быть, они и не должны стремиться к тому, чтобы перевести DNS на блокчейн прямо здесь и сейчас. Но команда Трампа должна знать, что открытые сети, такие, как Биткоин, являются многообещающей разработкой именно для обеспечения безопасности, несмотря на то, что они иногда доставляют проблемы органам охраны порядка и финансовым регуляторам. Подобно сети Интернет на ранней стадии её развития, эти инструменты могут вызвать кое у кого головную боль, но их определённо стоит поддерживать.
Источник
29.12.2016, 14:17
