‘Blockchain’ ima potencijal da poboljša šifrovanje i autentifikaciju, a to bi mogla biti dobra vest za IoT bezbednost i za DDoS zaštitu. ‘Blockchain’ je decentralizovana, distribuirana elektronska knjiga bazirana na modelu pružanja apsolutne bezbednosti i poverenja. Korišćenjem kriptografije, transakcije se snimaju hronološki i javno, svaka sa vremenskim pečatom i povezana sa prethodnom transakcijom. Kritično, ovi ulančani digitalni „blokovi“ mogu se ažurirati samo putem konsenzusa svih učesnika, pa je presretanje podataka, menjanje i brisanje takoreći nemoguće. Kao rezultat toga, nakon što je 2016. godine dostigao čuveni Gartnerov „vrhunac ciklusa“, ‘blockchain’ je postao prioritet za lidere u industriji, posebno u finansijskim uslugama, energetici i proizvodnji. Potvrđivanje Bitcoin plaćanja možda je postalo najcitiraniji slučaj upotrebe, ali ova tehnologija može se proširiti na aplikacije poput mreža za isporuku sadržaja i sisteme pametnih mreža.
Kako se ‘blockchain’ primenjuje na sajber bezbednost?
‘Blockchain’ ima potencijal da poboljša sve – od poboljšanja integriteta podataka i digitalnih identiteta sve do omogućavanja bezbednijim IoT uređajima da spreče DDoS napade (distribuirano uskraćivanje usluga). Zaista, ‘blockchain’ bi mogao preko “CIA trijade“ : poverljivosti (engl. Confidentiality), integriteta (engl. Integrity) i dostupnosti (engl Availability), da pruža poboljšanu otpornost, šifrovanje, reviziju i transparentnost.
„‘Blockchain’ popunjava praznine koje smo ostavili našom lošom primenom bezbednosti i nedostatkom pouzdanosti“, rekao je Bill Buchanan, priznati kompjuterski naučnik i profesor na Školi računarstva na Univerzitetu Edinburgh Napier. „Od 2018. moramo podrazumevano da šifrujemo sve. Trenutno, ne možete da proverite da li je neko pročitao e-poštu poslatu vama i da je nije izmenio. Često ne možemo čak ni da proverimo pošiljaoca. “
„Sa ‘blockchain’ metodima, možemo propisno da potvrđujemo i potpisujemo svoje transakcije“, kaže Buchanan. „Mada oko kriptovaluta postoje neke priče, implementacija ‘blockchain’ metoda će zapravo izgraditi pouzdaniju infrastrukturu za naše digitalne usluge. Najveća primena biće transformacija našeg javnog sektora i stvaranje infrastrukture usmerene ka građanima. To će građanima omogućiti da poseduju vlastite identitete, a zatim će svaka transakcija moći da se potvrdi. Mogli bismo da ostvarimo elemente naših javnih usluga, poput isplate naknada, pomoću pametnih ugovora zasnovanih na potpisanim tvrdnjama. “
Slede slučajevi korišćenja ‘blockchain’-a za bezbednost u stvarnom svetu.
1. Osiguranje ivičnih uređaja sa autentifikacijom
Kako se IT fokus pomere na navodno „pametne“ ivične uređaje sa podacima i mogućnošću povezivanja, isto važi i za bezbednost. Na kraju krajeva, proširivanje mreže može biti dobro za efikasnost, produktivnost i potrošnju energije IT-a (tj. dobro za resurse u oblaku i centru podataka), ali za one koji su zaduženi za bezbednost, za direktore i za šire poslovanje predstavlja bezbednosni rizik. Mnogi zatim traže načine korišćenja ‘blockchain’-a za zaštitu IoT i industrijskih IoT uređaja (IIoT), s obzirom na to da ova tehnologija jača autentifikaciju, poboljšava pripisivanje vlasništva i protok podataka i pomaže u upravljanju zapisima.
Ova poboljšanja se takođe ugrađuju na nivou čipseta. Startap Filament je nedavno najavio novi čip dizajniran da omogući industrijskim IoT uređajima da rade sa više ‘blockchain’ tehnologija. Ideja iza njihovog čipa Blocklet je da se podaci IoT senzora šifruju direktno u ‘blockchain’, sa ciljem da „obezbede siguran temelj za decentralizovanu interakciju i razmenu“.
2. Poboljšana poverljivost i integritet podataka
Iako je ‘blockchain’ prvobitno kreiran bez specifičnih kontrola pristupa (zahvaljujući svojoj javnoj distribuciji), neke implementacije ‘blockchain’-a sada se bave pitanjima poverljivosti podataka i kontrole pristupa. Ovo je očigledno kritičan izazov u doba u kojem se podaci lako mogu manipulisati ili prevariti, ali potpuno šifrovanje podataka ‘blockchain’-a osigurava da ovi podaci neće biti dostupni neovlašćenim stranama dok su u tranzitu (tako da ima malo ili nimalo šanse za uspešne napade čoveka-u-sredini [MiTM] ).
Ovaj integritet podataka se prostire na IoT i IIoT uređaje. Na primer, IBM u svojim Watson IoT platformama pruža opciju za upravljanje IoT podacima u privatnoj ‘blockchain’ knjizi koja je integrisana u servise u oblaku Big Blue. Ericssonova usluga Blockchain Data Integrity obezbeđuje potpuno proverljive, usklađene i pouzdane podatke za programere aplikacija koji rade na platformi Predix PaaS kompanije GE.
3. Bezbedne privatne poruke
Startapovi kao što je Obsidian koriste ‘blockchain’ za bezbedne privatne informacije koje se razmenjuju u ćaskanju, aplikacijama za razmenu poruka i putem društvenih medija. Za razliku od šifrovanja sa kraja na kraj koje se koristi u aplikacijama WhatsApp i iMessage, Obsidianov mesendžer koristi ‘blockchain’ za zaštitu korisnikovih metapodataka. Korisnik neće morati da koristi e-poštu ili bilo koji drugi metod autentifikacije da bi koristio mesendžer. Metapodaci se nasumično distribuiraju kroz celu knjigu i stoga neće biti dostupni za prikupljanje u jednoj tački, iz koje bi mogli da se ugroze.
Inače, inženjeri u Agenciji za unapređenje naprednih istraživačkih projekata (DARPA) navodno eksperimentišu sa ‘blockchain’-om kako bi kreirali uslugu razmene poruka bezbednu i neprobojnu za strane napade. Sa ‘blockchain’-om ukorenjenim u bezbedne, autentifikovane komunikacije, očekujte da će ovo područje sazrevati u bliskoj budućnosti.
4. Pojačanje ili čak zamena PKI-a
Infrastruktura javnog ključa (PKI) je kriptografija javnog ključa koja obezbeđuje e-poštu, aplikacije za razmenu poruka, veb lokacije i druge oblike komunikacije. Međutim, većina implementacija se za izdavanje, oduzimanje i čuvanje parova ključeva oslanja na centralizovani autoritet za certifikaciju (CA), koji kriminalci mogu da napadaju radi kompromitovanja šifriranih komunikacija i lažiranja identiteta. Objavljivanje ključeva na ‘blockchain’-u bi teoretski eliminisalo rizik od širenja lažnog ključa i omogućilo aplikacijama da verifikuju identitet ljudi sa kojima komunicirate.
CertCoin je jedna od prvih implementacija PKI zasnovanih na ‘blockchain’-u. Projekat potpuno uklanja centralne autoritete i koristi ‘blockchain’ kao distribuiranu knjigu domena i njihovih javnih ključeva. Pored toga, CertCoin pruža javni PKI koji može da se proveri i koji takođe nema ni jednu tačku otkaza.
Startap REMME daje svakom uređaju vlastiti specifični SSL sertifikat zasnovan na ‘blockchain’-u, koji sprečava uljezima da lažiraju sertifikate, dok je tehnološko istraživačka kompanija Pomcor objavila plan za PKI baziran na ‘blockchain’-u koji koristi ‘blockchain’ za čuvanje heševa izdatih i opozvanih sertifikata (mada su, u ovom primeru, i dalje potrebni CA).
„Trenutno se za stvaranje naše infrastrukture poverenja oslanjamo na PKI, ali to je često pogrešno, pogotovo što sajber-kriminalci sada stvaraju svoje digitalne certifikate“, kaže Buchanan. „Sa ‘blockchain’ metodima možemo potom potpisivati transakcije koristeći građanski stvorene identitete.“
5. Bezbedniji DNS
Botnet Mirai je pokazao koliko je kriminalcima lako da ugroze kritičnu infrastrukturu Interneta. Obaranjem dobavljača usluge sistema za imena domena (DNS – domain name system) za većinu većih veb stranica, napadači su uspeli da prekinu pristup Twitter-u, Netflix-u, PayPal-u i drugim uslugama. Pristup sa ‘blockchain’-om za čuvanje DNS stavki bi teoretski mogao da poboljša bezbednost tako što bi uklonio jedinstvenu ciljnu tačku.
Nebulis je novi projekat koji istražuje koncept distribuiranog DNS-a koji navodno nikad ne pada pod poplavom zahteva za pristup. Nebulis koristi ‘blockchain’ Ethereum i IPFS (Interplanetary File Sistem), distribuiranu alternativu za HTTP, za registrovanje i razrešavanje imena domena. „U srži Interneta, vidimo kritične usluge, kao što je DNS, koje pružaju mogućnost za velike prekide, a takođe i za hakovanje protiv organizacija“, kaže Buchanan. „Dakle, pouzdanija DNS infrastruktura koja bi koristila ‘blockchain’ metode, znatno bi pomogla osnovnoj infrastrukturi poverenja na Internetu.“
6. Manje DDoS napada
‘Blockchain’ startap Gladius tvrdi da njihov decentralizovani sistem knjiga pomaže u zaštiti od napada distribuiranog odbijanja usluga (DDoS), što je značajna tvrdnja pošto napadi rastu iznad 100Gbps. Firma kaže da njena decentralizovana rešenja mogu da zaštite od takvih napada tako što će vam omogućiti da se povežete sa zaštitnim bazenima blizu vas koji će pružiti bolju zaštitu i ubrzati vaš sadržaj.
Interesantno je da Gladius tvrdi da decentralizovana mreža omogućava korisnicima da iznajmljuju rezervni propusni opseg koji dodatno plaćaju, pa se taj višak propusnog opsega onda „distribuira čvorovima koji dalje usmeravaju propusni opseg na veb lokacije pod DDoS napadima, kako bi obezbedili da ne padnu“. Gladius kaže da za vreme manjeg opterećenja (bez DDoS napada) njihova mreža „ubrzava pristup Internetu delujući kao mreža za isporuku sadržaja.“
‘Blockchain’ bezbednost nije lek za sve
Ipak, ‘blockchain’ nije lek za sve, od tehničke složenosti i nebrojenih sistema do realizacije ne može da garantuje 100 posto bezbednosti. Buchanan je zabrinut zbog pitanja kao što su ograničenja učestalosti transakcija na koje se mogu primeniti i „natezanja oko toga da li se informacije moraju čuvati na ‘blockchain’-u ili mogu i van njega“.
„2018. godina treba da bude godina primene kriptografije na sve naše podatke, a ‘blockchain’ će obezbediti osnovu da se to skalira preko različitih organizacija“, kaže Buchanan. „Ključni izazovi biće da se odvojimo od naše postojeće IT infrastrukture i da je ponovo izgradimo koristeći osnovnu gradnju oko ‘blockchain’-a. Osnovni element će biti stvaranje parova ključeva – sa javnim i privatnim ključem – koji će identifikovati pojedince. Nažalost, naša infrastruktura za sprovođenje zakona još uvek je usredsređena na tradicionalne IT metode, a korak ka ‘blockchain’ metodu bi uključivao veći sukob između privatnosti i prava društva da se zaštiti. “
Izvor: CSO