Forrester报告:Web3可能比现有网络更容易遭受攻击

小刀
从基础设施的层面来看,Web3的确有可能更难颠覆,但它也有一些弱点,可能会比现有网络更容易遭受攻击。相比传统应用,Web3应用有区块链特点,所以它会拥有更宽的受攻击面。还有,在Web3时代代币相当于数量可观的金钱,黑客攻击Web3的欲望会更强烈。

本文来自极客网,作者:小刀。

许多人认为,下一代网络Web3会比现在的网络更安全,但最近发布的报告浇了盆冷水,事实可能并非如此。

Forrester认为,从基础设施的层面来看,Web3的确有可能更难颠覆,但它也有一些弱点,可能会比现有网络更容易遭受攻击。相比传统应用,Web3应用有区块链特点,所以它会拥有更宽的受攻击面。还有,在Web3时代代币相当于数量可观的金钱,黑客攻击Web3的欲望会更强烈。

2345截图20220818151609.png

Web3具有开放性,这是它最大的优点,但也是麻烦所在。Forrester分析师Martha Bennett认为:“运行于公共区块链上的代码更容易被入侵,世界上任何地方的任何人只要拥有技能,不需要渗透任何企业防御网就能进入。”她还说:“源代码也容易被入侵,因为世界不喜欢运行封闭源代码的智能合约。Web3基本上就是开放源码。”

不受欢迎的复杂性

Cipher安全公司CTO David Rickard认为,Web3是基于用户对数据和身份的分布式控制搭建的。

“有些个体可能不愿意或者没有能力管理自己的数据和身份,本来Web3的技术很复杂,这样一来应用会将‘易用’看得比其它因素更重要,所以Web3的受攻击面会更宽。”

David Rickard补充说:“对于个体来说,除了文本信息、邮件、查看社交媒体、使用购物App,其它都是挑战。”Web3会让代码透明、公开,这种做法不会得到真正的推崇。他认为:“在资本投资者与区块链金融系统(比如NFT)用户之间,牵涉到的金钱利益太大了。”

让代码透明公开也会导致Web3的受攻击面变宽。David Rickard分析称,要实现安全编码,预测用户会用系统做出什么邪恶行为不是容易做到的事,预测并不容易;要预测人们如何将系统用于预期之外的目的并非易事。

他还说:“人们担心区块链和NFT会被利用而出现金融损失,但这种担忧并不是针对不可变的对象本身,而是担心有人利用应用漏洞操作它们。”

还有一点要注意,传统系统可能有点古老,但它们并不脆弱。Cerby首席信用官Matt Chiodi说:“新东西往往也是最不安全的。虽然时间并非总是安全的朋友,但时间长了应用也会在战斗中接受更多测试。Web3不太一样,它是新的,没有经过测试。传统应用因时间受益,Web3还没有。”

NFT会成为攻击目标

不管代码是不是可见,是不是能访问,攻击者都会找到弱点,NFT可能会成为“最受欢迎”的攻击目标。

Bennett称:“如果能有更容易的途径接近目标,为什么要选择更难的呢?对于想偷窃或者颠覆规则的人来说,就像其它的价值交易所场一样,NFT集市和通信工具是很有吸引力的。”

“在与Web3有关的任何事物中,速度都是很重要的,但许多地方都没有专家来评估潜在安全问题。有时虽然发生了糟糕的安全事故,创业公司还是连安全主管都不招。”

6月份OpenSea的NFT市场出现安全事故,180万邮件地址泄露。Rickard分析称,这起事故涉及到内部威胁,处理交易的应用可能也是很脆弱的,应用中可能有成千上万的漏洞需要编程者好好应对,黑客只要抓住一个就能制造一次事故。

骗子横行

在NFT及其它公共区块链项目中,社交媒体网络Discord成为致命弱点。一些黑客用钓鱼手段攻击Discord,这是许多NFT盗窃案的根源所在。

这件事向我们证明:攻击者一般喜欢瞄准社区管理员。当黑客拿到管理员账户,就有机会大规模窃取,因为用户往往会相信社交管理员发的信息。

Discord是面向游戏玩家的交流论坛,并不是价值交易中心,所以它并没有建立降低风险的机制。Bennett称:“这样的安全机制只有真正推行才能起到作用,但很明显Discord没有执行。还有,Discord作为深受欢迎的代币项目沟通平台,它吸引了大量的钓鱼攻击和垃圾信息。”

为了收集参与者的联系信息,黑客会发起钓鱼攻击,入侵数字钱包也并不是什么稀罕之事。Bennett说:“Discord机器人曾被黑客入侵,作恶者可以发送虚假报价,最终导致加密货币被偷。”

比传统网络更安全吗

Forrester在报告中说,在快速前进的Web3世界,企业会倾向于忽视安全漏洞,只求快速创新,但是当重要产品发布时公共安全漏洞可能会成为阻碍,它会拖累产品团队前进的速度,强迫团队分析、缓解关键安全威胁。

Chiodi认为:“Web3应该将安全焦点向左移动,也就是让安全问题尽可能靠近开发者,将预防当成首要目标。如果不这样做,Web3最终就会和Web2差不多。考虑到Web3潜力无限,在去中心化身份方面更是优势明显,如果最终和Web2的安全差不多那就太可耻了。”

保密计算公司Anjuna的高管Mark Bower说:“Web3的分布式策略会带来多种类型的安全能力,但本质问题和之前还是一样的。如果攻击者可以拿到证书,可以拿到根权限或者密匙,尤其是拿到运行于整个生态系统的关键私人密钥,游戏就会被颠覆,就像中心化平台一样。”

THEEND

最新评论(评论仅代表用户观点)

更多
暂无评论