Bitcoin jako niestandardowe narzędzie wykrywania włamań

(źródło: btckeychain)

Wyobraźcie sobie narzędzie wykrywania włamań, które nie obciąża procesora, jego wdrożenie trwa ułamek sekundy, jest kompatybilne z każdą platformą i nie naraża użytkownika na dodatkowe ryzyko. Niemożliwe? A co powiecie na portfel z BTC?

Pomysł użycia portfela z bitcoinami jako narzędzia służącego do wykrycia włamania przewijał się już wiele razy w dyskusjach, ale dopiero dzisiaj natrafiliśmy na serwis, umożliwiający jego łatwe wdrożenie.

Przedmiot pożądania cyberprzestępców

Nie bez powodu bitcoin i jego liczni krewni zyskali sobie miano „kleptowaluty”. Względna anonimowość i duża łatwość obrotu sprawiły, że kryptowaluty stanowią łakomy kąsek dla włamywaczy. Serwisy obracające tymi walutami są celem wyrafinowanych ataków, przejęte serwery wykorzystywane są do ich produkcji a botnety polują na pliki portfeli popularnych walut. Zamiast załamywać nad tym ręce twórcy serwisu Bitcoin Vigil postanowili wykorzystać tę cechę bitcoina jako kluczowy element mechanizmu wykrywania włamań.

W standardowym kliencie bitcoina plik wallet.dat używany jest do przechowywania kluczy prywatnych portfela, służących do autoryzacji transakcji. Wejście w posiadanie niezaszyfrowanego pliku umożliwia jego nowemu właścicielowi przelanie całego salda na dowolny inny rachunek. Pierwszy koń trojański, polujący na plik wallet.dat, pojawił się już w czerwcu 2011 roku (i prawdopodobnie był polskiego autorstwa). Obecnie duża część złośliwego oprogramowania infekującego komputery użytkowników automatycznie kradnie pliki portfeli popularnych kryptowalut i przekazuje je przestępcom. Rozwiązanie twórców Bitcoin Vigil opiera się zatem na prostym koncepcie – jeśli umieścimy na swoim dysku niezaszyfrowany portfel BTC z niewielką ilością waluty (np. 0,002 BTC), jest całkiem prawdopodobne, ze w razie infekcji skusi on przestępców. Mimo niezbyt cennej zawartości łatwość jej kradzieży i niska wykrywalność zwiększają szansę, że złodziej przeleje zawartość portfela na swoje konto. Ta operacja, dzięki jawności rejestru transakcji, może zostać wykryta w ciągu kilku minut, stanowiąc wyraźny sygnał, że ktoś uzyskał dostęp do naszych plików. Bitcoin Vigil oferuje zarówno pomoc w stworzeniu portfela BTC jak i monitoring transakcji oraz powiadomienia emailem oraz SMSem o wykryciu podejrzanego przelewu.

Logo serwisu Bitcoin Vigil

Mnóstwo zalet

Proponowane rozwiązanie ma kilka niezaprzeczalnych zalet. Po pierwsze plik, stanowiący przynętę, jest całkowicie niezależny od platformy. Można go z taką samą skutecznością użyć w systemach z rodziny Windows, rozwiązaniach linuksowych czy chociażby na telefonie z Androidem. Co więcej, jest to rozwiązanie, które z racji swojego charakteru nie wymaga specjalnej instalacji (lub wdrożenia platformy sprzętowej) i można je stosować bez obaw o stabilność zarówno rozwiązań prywatnych jak i firmowych. Rozwiązanie to nie powoduje także, w przeciwieństwie do wielu innych patentów, żadnego obciążenia systemu.

Istotną zaleta rozwiązania jest także brak występowania błędów pierwszego rodzaju – oznacza to, że gdy otrzymamy wiadomość o opróżnieniu naszego portfela – pułapki, to możemy być pewni, że coś się dzieje. Niestety nie ma róży bez kolców – w tym rozwiązaniu występują błędy drugiego rodzaju, czyli ryzyko, że włamywacz, nie chcąc ujawniać swojej obecności, nie tknie naszego portfela. Z tego względu nie rekomendujemy stosowania tego pomysłu jako jedynego wskaźnika włamania, jednak jego zerowy koszt i łatwość wdrożenia czynią z niego idealnego kandydata na metodę uzupełniającą pozostałe rozwiązania.

Inne podobne pomysły

Idea wykrywania włamania na podstawie wypłynięcia podstawionych danych nie jest nowa. Pomysły analogiczne do powyższego pojawiały się już przed wynalezieniem bitcoina (cofając się chociażby do znaczonych banknotów w sejfie). Jednym z nich jest np. umieszczenie w bazie użytkowników konta o pozornie interesujących uprawnieniach (np. administratora) o w miarę łatwym do złamania haśle, na które nikt nigdy nie będzie się logował. Każde udane logowanie może być ostrzeżeniem o potencjalnym wycieku informacji. Można także w bazie umieścić niemożliwy do złamania skrót hasła, a następnie regularnie sprawdzać, czy prośba o pomoc w jego złamaniu nie pojawiła się gdzieś w sieci. Jeden z popularnych komunikatorów korzysta także z fałszywych kont użytkowników, których jedynym zadaniem jest wychwytywanie prób rozsyłania masowego spamu i automatyczne blokowanie kont spamerów. Może Wy także macie pomysły, jak podobne rozwiązania wdrożyć w praktyce?