Корпоративный Блокчейн: Отгорожен, но уязвим.

Как взломать блокчейн предприятия? Скоро мы это узнаем.

Блокчейн для предприятий был разработан в основном как частные сети, ограниченные авторизованными лицами. Предполагается, что это сделает их более эффективными, чем публичные сети, такие как Bitcoin и Ethereum, потому что меньше компьютеров должны прийти к соглашению о том, кому что принадлежит, и в каком-то смысле более безопасными, потому что участники знают друг друга.

Эти продукты применяют технологию, изначально разработанную для Дикого Запада крипто-валюты, к целому ряду негламурных корпоративных действий, включая трансграничные сделки, хранение записей и отслеживание товаров и информации. Их обещания привлекли некоторые из крупнейших мировых корпораций и продавцов программного обеспечения.

Но, как и любое программное обеспечение, они теоретически могут быть взломаны, хотя то, как предотвратить этот взлом, не так хорошо документировано.

«Я не могу припомнить ни одной крупной компании, объявляющей о каких-либо потерях от взлома частного блокчейна», — говорит Пол Броуди (Paul Brody), мировой лидер в области консалтинга с гигантом EY.

Это может измениться в ближайшем будущем, когда компании начнут выводить эти воротные системы из лаборатории и использовать их в реальных условиях.

«Крупные компании уже пару лет работают над приложениями для блокчейн», — говорит Павел Покровский, ведущий специалист по блокчейн московского производителя антивирусного программного обеспечения «Касперского». Скоро они начнут внедрять эти приложения в производство и, возможно, столкнутся с новыми проблемами в управлении рисками». По мере развертывания большего количества таких решений атаки на них могут участиться».

Внутренние вакансии
Одна из проблем заключается в том, что частные, разрешенные системы наиболее уязвимы к инсайдерским угрозам, говорят и Покровский, и Броуди.

«Инсайдерский риск особенно высок в частном блокчейн, потому что работа, которая обычно выполняется для защиты информации в частной сети, очень низка по сравнению с публичными сетями», — говорит Броуди из компании «EY», который был редким голосом среди фирм «Большой четверки», оказывающих профессиональные услуги в области открытых систем. «В публичных сетях мы широко используем доказательства отсутствия знаний и другие инструменты для защиты конфиденциальных данных от несанкционированного доступа».

По его словам, только один или два корпоративных клиента «EY» пошли на такую длину с частными сетями. «В результате, если вы можете получить доступ к сети или уже имеете его как инсайдер, почти все критические данные на самом деле видны всем членам».

В целом, по словам Покровского, наиболее распространенным типом атак, который теоретически может быть использован против сети блокировки предприятия, является атака типа «отказ в обслуживании». Это отличается от DDoS, или распределенного отказа в обслуживании, когда серверы компании забиты бесполезными запросами, которые их перегружают.

Отказ от службы, с другой стороны, является целенаправленной атакой, которая использует знания — возможно, бывший сотрудник — а не электронную силу мышц.

«Скажем, работника компании увольняют, и он злится на своего бывшего работодателя». Он выходит в темную паутину и продает свои знания об уязвимостях в системе хакерам», — сказал Покровский.

В случае с блокировками предприятия злоумышленнику необходимо знать адреса узлов и то, что может отключить их от сети.

«Злоумышленник может перегрузить емкость хранилища данных узла, залить его бесполезными вычислениями», — сказал Покровский. «Например, один из клиентских узлов не смог бы обрабатывать очень большие числа, скажем, 12 нулей и более. Они бы просто замерзли».

По его словам, лекарством от такого рода атак является правильная фильтрация данных, поступающих в узлы: «Это очень распространенная ошибка, а не фильтрация входящих данных».

Дешевый трюк
Использовать такую уязвимость легко, когда вы знаете, где находятся узлы, и, в отличие от DDoS, она не требует покупки трафика в виде ботов, которые наполняют вашу цель мусорным трафиком, или установки большого количества аппаратного обеспечения для атаки на сервер.

«Вы просто пишете простой сценарий и отправляете его на узлы», — сказал Покровский. Затем узлы переходят в автономный режим». По словам Покровского, это может быть использовано в преступных целях, начиная с саботажа конкурента и заканчивая терактами.

Ситуация может усугубляться тем, что наиболее удобным способом установки узлов для частной блок-поставки является использование облачной инфраструктуры, чтобы компаниям не приходилось придумывать, как установить физический узел в своем офисе».

«Большинство частных блокчейн сетей имеют очень мало узлов, и во многих случаях все они располагаются в единой облачной инфраструктуре, создавая единую точку отказа», — сказал Броуди. «Это также означает, что, будучи незыблемыми хранилищами информации, они на самом деле легко стираются или отключаются».

Риски могут варьироваться. Например, блокчейн Masterchain для банков, разработанный под эгидой центрального банка России, представляет собой вилку, или модифицированную копию блокчейн Ethereum, в котором используется механизм подтверждения работоспособности на основе консенсуса. Снятие узлов такой сети приведет к перераспределению консенсуса между оставшимися узлами, что позволит продолжить валидацию сделок.

Однако если выяснится, что все оставшиеся узлы контролируются центральным банком, участники сети могут поспорить, что сделки, зафиксированные в то время, как все остальные были ликвидированы, не легитимны, сказал Покровский.

«DDoS» — это атака, которую легко и дешево организовать, но ее также легко предотвратить, и такие сервисы, как Cloudflare, могут идентифицировать и эффективно предотвратить ее. Но отказ в обслуживании не идентифицируется фильтрами, которыми пользуются такие сервисы», — сказал Покровский, добавив, что иногда злоумышленникам даже не нужен инсайдер для локализации узлов — такую информацию можно найти методами разведки с открытым исходным кодом.

«Очень сложно исправить такие уязвимости, как атака, когда все рушится, все бегают и все горит», — сказал он, — лучше попытаться предсказать такие ситуации в тестовом окружении.

Не очень умные контракты
По словам Покровского, если в блокчейн используются «умные» контракты, то и на них можно напасть.

«Для блокчейн предприятия типичная атака — это когда контракт содержит переменные, которые могут оказаться разными для каждого узла, например, временные метки или случайные числа», — сказал он. В этом случае каждый узел будет выполнять «умный» контракт с разным результатом, и в результате транзакция не будет записываться в блокчейн».

Если в «умном» договоре речь идет о документах, то есть еще один возможный способ атаки: вставка вредоносного кода в документ.

Это то же самое, что и атака SQL-инъекции, и для ее предотвращения необходимо фильтровать входящие данные и ограничивать использование внешних данных по «умному» контракту», — сказал Покровский.

Тот факт, что большинство частных блокчейн не пользуются вниманием широкого сообщества блоков, также является слабым местом, сказал Броуди.

«Возможно, самый большой риск, который представляют собой частные блокировки, — это риск самоуспокоенности», — сказал он. «Открытый исходный код, который не является широко используемым и не имеет бдительного тестирования и проверки со стороны сообщества, является гораздо менее безопасным и надежным, чем такие системы, как Bitcoin и Ethereum, которые постоянно закаляются почти постоянными атаками и общественными проверками».

Угол зрения Касперского
Стремясь расширить поток доходов, Касперский в 2018 году перешел к исследованиям и консалтингу, ориентированным на блокчейн, сначала сосредоточившись на публичных блокчейн, включая Bitcoin и Ethereum.

Касперский работал с крипто-биржами и в октябре 2018 года завершил аудит безопасности для компании Merkeleon, выпускающей торговое программное обеспечение.

В октябре 2019 года Касперский начал работать и с корпоративным блокчейн. Покровский рассказал, что компания провела аудит ряда таких систем, только две из которых он мог назвать публично: Российский стартап блокчейн Insolar and Waves, который с прошлого года переориентировался с государственных на частные блокчейн сети.

В марте журнал PC Magazine включил «Касперский» в десятку лучших антивирусных продуктов в мире, но с 2017 года ему запрещена установка на компьютеры правительства США в рамках ответной реакции США на вмешательство России в президентские выборы 2016 года. Этот запрет вызвал падение продаж в США и Европе, но они расширились как в России, так и в Африке. Касперский сообщил о 4-процентном росте выручки в 2018 году.

Аудит «Волны Касперского» занял три месяца, с ноября 2019 года до конца января 2020 года. «Задача заключалась в проверке безопасности узлов, сетевой инфраструктуры и веб-интерфейсов узлов», — сказал Покровский.

В компании по безопасности было проведено так называемое тестирование «серого ящика», при котором тестер не имеет доступа к полному коду платформы блокчейн, но имеет доступ к системе на уровне администратора. Такое тестирование показало бы возможные инсайдерские угрозы, как, например, бывший сотрудник, который становится негодяем.

После завершения тестирования «Касперский» представляет клиенту список уязвимостей, и клиент исправляет их. После этого тестирование запускается заново.

Покровский не стал бы раскрывать, какие уязвимости нужно «исправлять» на блокчейн Waves. (Waves подтвердили, что он нанял Касперского).