Täna on vaid laisk, kes ei ole kirjutanud plokiahela, krüptovaluutade ja selle ägeduse kohta. Kuid käesolevas artiklis ei käsitleta selle tehnoloogia ülistamist, vaid teeme juttu selle puudustest ja nende lahendamise viisidest.

Ükskallis töö käigus Altairix Systemsis tekkis ülesanne turvalise, tsensuuri suhtes vastupidava andmete kinnitamise kohta välistest plokiahelallikatest. Oli vajalik kinnitada muudatused kolmanda süsteemi salvestustes ja nende muudatuste põhjal täita vastavat haru nutikontakti loogikas. Esmapilgul tundub ülesanne piisavalt triviaalne, kuid kui selle täitmise tulemus sõltub ühe osalise rahalisest olukorrast, kerkivad esile lisavajadused. Esiteks on see igakülgne usaldus selliste valideerimismehhanismide vastu. Kuid kõigest järgemööda.

Probleem seisneb selles, et plokiahel iseenesest on autonoomne, isoleeritud objekt, seega ei tea nutikontaktid plokiahelas välimisest maailmast midagi. Samuti on nutikontaktide tingimused sageli seotud teabega reaalsete asjade kohta (lennu hilinemine, valuutakursid jne). Nutikontaktide õige töö jaoks peab plokiahelast väljaspool saadud teave olema usaldusväärne ja kontrollitud. See probleem lahendatakse oraklite kasutamisega, nagu Town Crier ja DECO. Need oraklid võimaldavad nutikontaktidel plokiahelas usaldada teavet usaldusväärselt veebiserverilt, võib öelda, et need on usaldusväärse teabe pakkujad.

Oraklid

Kujutage ette, et nutikontakt teostab 0.001 btc ülekande teie bitcoin-rahakotile juhul, kui teie lemmik jalgpalliklubi võidab Venemaa karika. Reaalsete võitude korral on nutikontaktile vajalik edastada teavet selle kohta, milline klubi võitis, ja siin tekib hulgaliselt probleeme: kust saada seda teavet, kuidas seda turvaliselt nutikontakti edastada ja kuidas veenduda, et nutikontakti saadud teave vastab tõele?

Infoteabe küsimuses võivad olla kaks stsenaariumi: nutilepingute ühendamine usaldusväärse veebisaidiga, kus hoitakse keskselt mängutulemustega seotud teavet, ja teine võimalus on kohe ühendada mitu saiti ning seejärel teha teabe valik mitmest allikast, mis pakuvad samu andmeid. Teabe õigsuse kinnitamiseks kasutatakse orakleid, näiteks Oraclize, mis kasutab TLSNotary't (TLS-i modifikatsioon andmete autentsuse tõestamiseks). Oraclize'i kohta on Googles piisavalt teavet, ja Habrasse on mitmeid artikleid, täna räägin aga oraklitest, mis kasutavad natuke teistsugust lähenemist teabe edastamiseks: Town Crier ja DECO. Artiklis antakse ülevaade mõlema orakli tööpõhimõtetest ning põhjalik võrdlus.

Town Crier

Town Crier (TC) tutvustas IC3 (The Initiative for CryptoCurrencies and Contracts) 2016. aastal CCS’16-l. TC põhidee: edastada teavet veebisaidilt nutilepingule ja veenduda, et TC edastatud teave on sama, mis veebisaidil. TC kasutab andmete autentsuse tagamiseks TEE-d (Trusted Execution Environment). TC originaalversioonis on kirjeldatud koostööd Intel SGX-iga.
Town Crier koosneb osast, mis on plokiahelas, ja osast, mis on operatsioonisüsteemis — TC Server.

TC Kontrakt asub plokiahelas ja toimib TC eesliinina. See võtab vastu taotlusi CU-lt (kasutaja nutileping) ja tagastab vastuse TC Serverilt. TC Serveris on Relay, mis loob ühenduse anklaavi ja interneti vahel (kahepoolne liiklus) ning seob anklaavi plokiahelaga. Enclave sisaldab progencl'i, mis on kood, mis täidab plokiahelast saadud taotlusi ja tagastab sõnumeid plokiahelasse digitaalse allkirjaga; progencl sisaldab osa nutilepingust ja täidab sisuliselt mõningaid selle funktsioone.

Intel SGX anklaavi võib käsitleda kui kõiki sisaldavat teegib, millel on API ja mis töötab ekraani kaudu. Ecall edastab juhtimise anklaavi. Anklaav täidab oma koodi, kuni see lõpetatakse või kuni toimub erand. Väliskaudu defineeritud funktsioonide kutsumiseks kasutatakse ocall'i. Ocall täidetakse väljaspool anklaavi ja töödeldakse selle poolt usaldusväärse kutsena. Ocall'i teostamise järel antakse juhtimine tagasi anklaavi.

Enclave'is toimub secure channel'i seadistamine veebiserveriga, kus enclaves ise teostab TLS handshake'i sihiserveriga ning teostab kõik krüptomaatilised operatsioonid enda sees. TLS teek (mbedTLS) ja HTTP-kood on väljaviidud SGX keskkonda. Samuti sisaldab Enclave root CA sertifikaate (sertifikaatide kogum), et kontrollida kaugserverite sertifikaate. Request Handler võtab vastu datagram'i päringu Ethereum'i poolt pakutud formaadis, dekrüpteerib selle ja analüüsib. Seejärel genereeritakse Ethereum'i tehing, mis sisaldab soovitud datagram'i, allkirjastatakse skTC abil ja edastatakse Relay'le.

Relay'i osa hõlmab Client Interface'i, TCP-d, Blockchain Interface'i. Client Interface on vajalik enclave'i koodi atesteerimiseks ja kliendiga suhtlemiseks. Klient saadab atesteerimise päringu ecall'i abil ja saab timestamp'i, mis on allkirjastatud skTC koos att (atesteerimise allkiri), seejärel kinnitatakse att Intel Attestation Service'i (IAS) abil ning timestamp'i kontrollib usaldusväärne ajateenus. Blockchain Interface kontrollib sisse tulevaid päringuid ja paigutab tehingud plokiahelasse, et edastada datagram'e. Geth on ametlik Ethereum'i klient ja võimaldab Relay'l suhelda plokiahelaga RPC kõnede kaudu.

Töötades TEE-ga, võimaldab TC käivitada samaaegselt mitu enclave'i, suurendades sellega teabe töötlemise kiirus 3 korda. Kui ühe töötava enclave'i kiirus oli 15 tx/sec, siis 20 samaaegselt käivitatud enclave'i juures tõuseb kiirus 65 tx/sec-ni, võrreldes maksimaalse plokiahela Bitcoin'i töökiirus 26 tx/sec.

DECO

DECO (Decentralized Oracles for TLS) esitati CCS’20, töötab veebisaitidega, mis toetavad TLS-ühendust. Tagab andmete konfidentsiaalsuse ja terviklikkuse.
DECO ja TLS kasutavad sümmeetrilist krüpteerimist, seega on kliendil ja veebiserveril krüpteerimise võtmed ning klient, kui soovib, võib TLS-seansi andmeid valehäiretega petta. Selle probleemi lahendamiseks kasutab DECO kolmesuunalist kätlemisprotokolli prover'i (nutileping), verifier'i (orakel) ja veebiserveri (andmeallikas) vahel.

DECO tööpõhimõte seisneb selles, et kontrollija (prover) saab osa andmeid D ja kinnitab verifikaatorile (verifier), et D on pärit TLS-serverilt S. Teine probleem on see, et TLS ei allkirjasta andmeid ja TLS-kliendil on raske tõestada, et andmed on pärit just sellest serverist (provenance difficulty).

DECO protokollis kasutatakse krüptovõtmeid KEnc ja KMac. Klient saadab päringu Q veebiserveriks, serveri vastus R tuleb krüpteeritud kujul, kuid klient ja server omavad samu KMac-võtmeid, mistõttu saab klient TLS-sõnumit valetada. DECO lahendus seisneb selles, et „peita“ KMac kliendi (proveerija) eest, kuni ta päringule vastab. Nüüd on KMac jagatud prover'i ja verifier'i vahel – KpMac ja KvMac. Server saab KMac-i vastuse krüpteerimiseks, kasutades võtmeosade operatsiooni KpMac ⊕ KvMac = KMac.

Kolmepoolse käepigistuse seadistamine tagab, et andmevahetus kliendi ja serveri vahel toimub turvaliselt.

Rääkides detsentraliseeritud oraklite süsteemidest, on võimatu mitte mainida Chainlinki, mis püüab luua detsentraliseeritud oraklite sõlmede võrku, mis on ühilduv Ethereum'i, Bitcoin'i ja Hyperledger'iga, arvestades moodulsust: iga süsteemi osa saab uuendada. Samuti, et tagada turvalisus, pakub Chainlink igale ülesandes osalevale oraklile võtme kombinatsiooni (avatud ja suletud). Suletud võtit kasutatakse osalise allkirja genereerimiseks, mis sisaldab nende vastust andmepäringule. Vastuse saamiseks on vajalik kõigi oraklite osaliste allkirjade ühinemine.

Chainlink kavatseb läbi viia esimese PoC DECO, keskendudes detsentraliseeritud finantsrakendustele, nagu Mixicles. Artikli kirjutamise hetkel ilmus Forbesis uudis, et Chainlink on omandanud DECO Cornell University'lt.

Rünnakud oraklitele

Teabejulgeoleku seisukohast on kaalutud järgmisi rünnakuid Town Crieri suhtes:

1. Petturliku smart-kontakti koodi süstimine TEE-sõlmedesse.
   Rünnaku olemus: vale smart-kontakti koodi edastamine TEE-sse, mistõttu, kui kurjategija, kes on saanud juurdepääsu sõlmele, saab käivitada oma (petliku) smart-kontakti dekrüpteeritud andmete jaoks. Siiski, tagastatavad väärtused on krüpteeritud privaatvõtmega ja ainsaks võimaluseks nendele andmetele juurdepääsemiseks on krüpteeritud teksti lekkimine tagastamisel/edastamisel.
   Selle rünnaku vastu kaitsmine seisneb aktuaaride kontrollimises koodi õigsuse üle, mis asub praegusel aadressil. Seda saab saavutada aadressimisprogrammiga, kus lepingu aadress määratletakse lepingu koodi hash-iga.

2. Lepingu oleku krüpteeritud andmete muutused lekitavad.
   Rünnaku olemus: Nutilepingute sõlmede omanikud pääsevad lepingute olekule krüpteeritud kujul väljaspool anklavit. Kurjategija, kes kontrollib sõlme, saab võrrelda lepingute olekut enne ja pärast tehingut ning tuvastada, millised argumendid on tehtud ja millist nutilepingute meetodit on kasutatud, kuna nutilepingute kood ja selle tehnilised spetsifikatsioonid on avalikult kättesaadavad.
   Sõlme usaldusväärsuse tagamiseks vajalik kaitse.

3. Külgkanali rünnakud.
   Erinevates stsenaariumees jälgimisega seotud rünnaku tüüp. Sellise rünnaku näide on Prime and Probe.
   
   Rünnaku läbiviimise protseduur:

   • t0: Kurjategija täidab ohvri protsessi mälus oleva andmevahemiku.
   • t1: Ohver täidab koodi, mis tegeleb mäluga, mis sõltub ohvri konfidentsiaalsetest andmetest (krüptovõtmed). Vahemälu rida valitakse keybiti väärtuse järgi. Näites, kus keybit = 0, loetakse aadress X vahemälus olevas reas 2. X-is hoitavad andmed laaditakse vahemälu, eemaldades seal varem olnud andmed.
   • t2: Kurjategija kontrollib, millised tema vahemälu read on välja tõrjutud — read, mida ohver kasutas. Seda tehakse juurdepääsuaegade mõõtmise kaudu. Korrates seda toimingut iga keybiti jaoks, saab kurjategija kogu võtme.

Kaitse rünnaku eest: Intel SGX-is on kaitse külgkanali rünnakute vastu, mis keelab vahemälu sündmustega seotud jälgimise, kuid rünnak Prime and Probe läbib ikkagi, kuna kurjategija jälgib oma protsessi vahemälu sündmusi ja jagab vahemälu ohvriga.

Seega ei ole hetkel selle rünnaku vastu usaldusväärset kaitset.

On teada ka Spectre ja Foreshadow (L1TF) rünnakud, mis on sarnased Prime and Probe'ile. Need võimaldavad lugeda andmeid vahemälust külgkanali kaudu. Spectre-v2 haavatavuse kaitse on ette nähtud, mis töötab nende kahe rünnaku vastu.

DECO osas pakub kolmekordne käepigistus turvalisuse garantiid:

1. Prover Integrity: purustatud prover ei saa väärata serveri päritolu teavet ega saa sundida serverit aktsepteerima lubamatuid päringuid või vastama valesti kehtivatele päringutele. See on saavutatav päringute malli abil serveri ja prover'i vahel.
2. Verifier Integrity: purustatud verifier ei saa sundida proverit saama valevastuseid.
3. Privaatsus: Häkkinud verifier uurib ainult avalikult kergesti kättesaadavat teavet (päring, serveri nimi).

DECO-s on võimalikud ainult liikluse sisestamise haavatavused. Alguses, kolmateralisel käepigistusel, võib verifier keskenduda serveri identiteedi kindlakstegemisele värske nonce'i abil. Siiski, pärast käepigistust peab verifier tuginema võrgu tasandi näidikutele (IP-aadressid). Seega peab seos verifieri ja serveri vahel olema kaitstud liikluse sisestamise eest. Seda saavutatakse Proxy kasutamisega.

Oraaklite võrdlemine

Town Crier põhineb töötlusel serveri poolsete enclave'idega, DECO aga võimaldab andmete päritolu kontrollimist kolmateralisel käepigistusel ning andmete krüptimist krüptograafiliste võtmete abil. Oraaklite andmete võrdlemine toimus järgmiste kriteeriumide alusel: jõudlus, turvalisus, hind ja praktilisus.

Town Crier
DECO

jõudlus
Kiirem (0,6 s lõpuni)
Aeglasem (10,50 s protokolli lõpetamiseks)

turvalisus
Vähem turvaline
Rohkem turvaline

hind
Kallim
Odavam

praktilisus
Nõuab spetsiaalset riistvara
Töötleb mistahes serveriga, mis toetab TLS-i

Jõudlus: DECO kasutamiseks on vajalik kolmateraline käepigistus. LAN-i kaudu seadistamisel kulub sellele umbes 0,37 sekundit; tõhus 2PC-HMAC (0,13 s kirjutamiseks) on efektiivne pärast ühenduse loomist. DECO tulemuslikkus sõltub saadaval olevatest TLS-i krüptosuumadest, isiklike andmete suurusest ja tõestamise keerukusest konkreetse rakenduse jaoks. Näiteks IC3 binaarse optsiooni rakenduse puhul: LAN kaudu protokolli lõpuleviimine kestab umbes 10,50 sekundit. Võrdluseks: Town Crier vajab sama rakenduse täitmiseks umbes 0,6 sekundit, mis on umbes 20 korda kiirem kui DECO. Tingimuste võrdsuse korral on TC kiirem.

Turvalisus: Intel SGX enclave'ide ründed (side-channel attacks) töötavad ja võivad kvaliteetses smarkontraktide osalistele reaalselt kahju tekitada. DECO osas on võimalikud liikluse sisestamise ründed, kuid proxy kasutamine vähendab neid ründeid. Seetõttu on DECO turvalisem.

Hind: Intel SGX riistvara töötlemise hind on kõrgem kui DECO protokolli seadistamise hind. Seetõttu on TC kallim.

praktilisus: Town Crier'i kasutamiseks on vajalik spetsiaalne riistvara, mis toetab TEE-d. Näiteks toetavad Intel SGX 6. põlvkonna Intel Core'i protsessorid ja uuemad. DECO aga võimaldab töötada igasuguste seadmete puhul, kuigi TEEd kasutava DECO seadistamine on võimalik. DECO-l võib kolmekordse kätetõstmise seadistamine võtta aega, kuid see ei saa võrreldagi TC riistvara piiranguga, mistõttu on DECO praktilisem.

Kokkuvõte

Kaks oraaklit eraldi vaadates ja neid nelja kriteeriumi alusel võrreldes on selge, et Town Crier jääb kolmes neljast punktist DECO-le alla. DECO on usaldusväärsem informatsiooniturbe seisukohalt, odavam ja praktilisem, kuigi kolmekordse protokolli seadistamine võib võtta aega ja sel on oma miinused, näiteks täiendavad krüpteerimisvõtmetega tegelemise toimingud. TC töötab kiiremini kui DECO, kuid sellega seotud külgkanali rünnaku oht teeb selle konfidentsiaalsuse riskide osas haavatavaks. Tuleb arvestada, et DECO esitati jaanuaris 2020 ja ei ole veel piisavalt aega möödunud, et peetaks seda turvaliseks. Town Crier on olnud nelja aasta jooksul rünnakute all ja on läbinud palju teste, mistõttu on selle kasutamine paljudes projektides põhjendatud.

Allikas: habr.com