Cốt lõi của ví tính toán đa bên (Multi-Party Computation - MPC) hiện đại và giải pháp lưu ký tài sản số của các chuỗi khối chính là một giao thức mật mã có tên là lược đồ chữ ký số ngưỡng (Threshold Signature Scheme - TSS).
Ngày nay, nhiều tổ chức bao gồm ngân hàng, sàn giao dịch và ví đều dựa vào TSS để cho phép các bên ủy quyền giao dịch bằng cách tạo chữ ký mà không tiết lộ khóa bí mật cá nhân của mỗi bên. Do đó, tính an toàn của TSS là vô cùng quan trọng đối với nhiều hệ sinh thái tài chính tài sản số.
TSS là một lược đồ chữ ký số mà cho phép nhiều bên (tức người ký) có thể thiết lập các nhóm sao cho chỉ một tập hợp con nào đó của nhóm mới có thể tạo chữ ký thay mặt cho nhóm. Cụ thể hơn, một lược đồ ngưỡng sử dụng để ký một thông điệp là một lược đồ chữ ký số trong đó bất kỳ (ngưỡng) (hoặc nhiều hơn) người ký nào trong một nhóm gồm người ký có thể tạo chữ ký thay mặt cho nhóm. Vì mỗi bên chỉ giữ một phần khóa bí mật trong việc sinh khóa bí mật TSS, nên chữ ký ngưỡng không tiết lộ các thành viên nhóm thực sự đã hợp tác để sinh khóa và tạo chữ ký số trên thông điệp.
Trong chuỗi khối, lược đồ chữ ký số đường cong elliptic (Elliptic Curve Digital Signature Algorithm - ECDSA) thường được sử dụng để ký và xác minh giao dịch. Một giao thức cho TSS sử dụng ECDSA mà dựa trên mã hóa đồng cấu (homomorphic) và chứng minh không tiết lộ tri thức (zero-knowledge proof), đã được đề xuất bởi Gennaro & Goldfeder vào năm 2018 [3] và được cập nhật trong [4], [5]. Kể từ lần công bố đầu tiên, nhiều cài đặt của đã được phát triển và hiện đang được nhiều sản phẩm sử dụng để mang đến sự tin tưởng giữa các thành viên. Trong bài viết này, thuật ngữ t-ECDSA đề cập đến lược đồ chữ ký ngưỡng ECDSA do Gennaro và Goldfeder đề xuất.
Thật không may, mặc dù đã trải qua nhiều kiểm định an toàn, nhưng các cài đặt này, bao gồm các khung TSS mã nguồn mở thực tế trong Golang và Rust vẫn dễ bị tấn công bởi 3 tấn công trích xuất khóa mới mà nhóm nghiên cứu tại công ty Verichains đã phát hiện ra. Chúng được đặt tên là TSSHOCK.
TSSHOCK là tấn công lên giao thức chữ ký ngưỡng (Threshold Signature Scheme) được sử dụng rộng rãi trong các ví tiền điện tử dùng MPC (Multi-Party Computation), cross-chain bridge và các giải pháp quản lý tài sản kỹ thuật số.
Verichains đã phát hiện ra tấn công TSSHOCK sau khi tiến hành kiểm tra diện rộng một loạt các cài đặt t-ECDSA mã nguồn mở. Hầu hết các cài đặt có thể bị tấn công chỉ với một thành viên để khôi phục . TSSHOCK phá vỡ hoàn toàn tính an toàn của TSS, với việc khai thác bằng chứng về khái niệm thể hiện toàn bộ quá trình trích xuất khóa bí mật bởi một kẻ tấn công sau - chữ ký trên nhiều ví phổ biến, cơ sở hạ tầng khóa không lưu ký (non-custodial, tức cho phép người dùng có toàn quyền kiểm soát tài sản của mình bằng khóa bí mật được liên kết với ví) và giao thức quản lý tài sản chuỗi chéo (cross-chain).
Kẻ tấn công có thể khai thác TSSHOCK để đánh cắp tiền số có giá trị lên đến hàng tỉ USD từ cả người dùng cá nhân và các tổ chức/doanh nghiệp, đồng thời không để lại dấu vết và có vẻ không liên quan đối với các bên tham gia khác.
Phép biến đổi Fiat-Shamir là một kỹ thuật nổi tiếng nhằm loại bỏ tính tương tác khỏi các hệ chứng minh tương tác. Các hệ chứng minh tương tác thường có cấu trúc 3 bước như sau:
Bước 1: Người chứng minh sinh ra một giá trị cam kết và gửi tới người xác minh.
Bước 2: Người xác minh sinh ngẫu nhiên đều một giá trị thách thức và gửi tới người chứng minh.
Bước 3: Người chứng minh tính toán bằng chứng dựa trên cả giá trị cam kết và thách thức.
Ý tưởng đằng sau phép biến đổi Fiat-Shamir là thay vì yêu cầu người xác minh gửi một giá trị thách thức ngẫu nhiên cho người chứng minh, người chứng minh có thể tự tính toán giá trị này bằng cách sử dụng hàm ngẫu nhiên, chẳng hạn như hàm băm mật mã. Điều này giúp hệ chứng minh trở thành không tương tác.
|
Tài liệu tham khảo 1. Duy Hieu Nguyen, Anh Khoa Nguyen, Huu Giap Nguyen, Thanh Nguyen, Anh Quynh Nguyen. “New Key Extraction Attacks on Threshold ECDSA Implementations”. Blackhat USA August 5-10, 2023. 2. Verichains. “TSSHOCK: Breaking MPC Wallets and Digital Custodians for $BILLION$ Profit”. Availaible at . 3. Rosario Gennaro and Steven Goldfeder. Fast Multiparty Threshold ECDSA with Fast Trustless Setup. Cryptology ePrint Archive, Paper 2019/114, 2019. 4. Rosario Gennaro and Steven Goldfeder. One Round Threshold ECDSA with Identifiable Abort. Cryptology ePrint Archive, Paper 2020/540, 2020. 5. Ran Canetti, Rosario Gennaro, Steven Goldfeder, Nikolaos Makriyannis, and Udi Peled. UC Non-Interactive, Proactive, Threshold ECDSA with Identifiable Aborts. Cryptology ePrint Archive, Paper 2021/060, 2021 |
Đỗ Đại Chí (dịch)
09:00 | 16/01/2018
12:00 | 03/03/2023
14:00 | 06/09/2023
09:00 | 27/03/2023
Trong bối cảnh ngày càng xuất hiện nhiều hơn các cuộc tấn công mã độc tống tiền nhắm đến người dùng cuối, với các thủ đoạn vô cùng tinh vi, các tin tặc đang tích cực phát triển nhiều biến thể mã độc tống tiền nâng cao nhằm đạt được những mục đích nhất định như mã hóa dữ liệu, đòi tiền chuộc,… Bài viết này gửi đến độc giả hướng dẫn một số phương thức bảo vệ dữ liệu máy tính trên Windows 10, bao gồm cả cách sử dụng công cụ phòng chống mã độc tống tiền được tích hợp trên hệ thống.
23:00 | 22/01/2023
Với sự bùng nổ và phát triển của công nghệ mạng Internet cùng nhiều tiện ích và giải trí hiện nay, kéo theo đó là tần suất gia tăng các cuộc tấn công mạng, việc sử dụng hàng loạt những website lừa đảo không an toàn, nhằm mục đích đánh lừa người dùng truy cập vào những website độc hại để thực hiện hành vi đánh cắp thông tin, hay lây lan những phần mềm chứa mã độc đang trở thành một xu hướng tấn công của tin tặc. Nhận thức được tầm quan trọng của việc truy cập an toàn trên môi trường mạng, bài báo sau đây sẽ cung cấp đến độc giả những kỹ năng cần thiết để sử dụng các công cụ hỗ trợ nhằm kiểm tra chỉ số về độ an toàn của website, qua đó giúp người dùng an tâm và tránh được việc thông tin của bản thân bị đánh cắp và lợi dụng cho những mục đích xấu.
13:00 | 26/12/2022
Một khía cạnh quan trọng của công nghệ blockchain (chuỗi khối) là xác định người dùng nào công bố khối tiếp theo. Điều này được giải quyết thông qua việc thực hiện một trong nhiều mô hình đồng thuận có thể. Trong khi cố gắng cải thiện hiệu quả năng lượng của các chuỗi khối sử dụng bằng chứng công việc (Proof of Work - PoW) trong cơ chế đồng thuận, bằng chứng cổ phần (Proof of Stake - PoS) lại đưa ra một loạt các thiếu sót mới đáng kể trong cả mô hình tiền tệ và mô hình quản trị. Bài viết trình bày lại các phân tích của [1] và chỉ ra rằng những hệ thống như vậy là độc tài, độc quyền nhóm và được ủy quyền (permissioned).
12:00 | 23/09/2022
Gmail là dịch vụ thư điện tử phổ biến hiện nay với hàng triệu người sử dụng, do vậy việc đảm bảo an toàn thông tin cho người dùng được Google rất chú trọng phát triển với nhiều tính năng hỗ trợ. Trong đó, Confidential Mode hay được gọi là Chế độ bảo mật là một tính năng hữu ích trong việc thiết lập các tùy chọn email gửi đi. Tính năng này tập trung vào quyền riêng tư, cho phép người dùng đặt ngày hết hạn và mật mã cho thư điện tử.
14:00 | 14/08/2023 | Giải pháp khác
12:00 | 14/08/2023 | Công nghệ thông tin
17:00 | 11/08/2023|GP ATM
10:00 | 10/08/2023|Chính sách - Chiến lược
11:00 | 29/07/2023|Mật mã dân sự
16:00 | 09/11/2022|Tin tức sản phẩm
Theo số liệu của DataReportal, hiện Việt Nam đang có khoảng 49,9 triệu người sử dụng mạng xã hội TikTok, xếp thứ 6 trên 10 quốc gia có số người sử dụng TikTok nhiều nhất thế giới. Đáng chú ý là mạng xã hội này đang dần chiếm lĩnh thị trường nhờ vào những đoạn video có nội dung đa dạng mang tính "gây nghiện", thu hút mọi lứa tuổi trong đó có trẻ em. Tuy nhiên không như những mạng xã hội khác, TikTok thường xuyên bị cáo buộc việc gây ra những rủi ro nghiêm trọng về bảo mật và quyền riêng tư của người dùng. Thời gian qua đã có ít nhất 10 quốc gia cấm sử dụng ứng dụng này, trong đó có những nguyên nhân là do Tiktok gây ảnh hưởng nghiêm trọng tới suy nghĩ và hành động của trẻ em.
08:00 | 21/12/2023
Với sự phát triển mạnh mẽ của công nghệ thông tin hiện nay, các ứng dụng giải trí, nhắn tin, gọi điện đang dần trở nên phổ biến. Những dịch vụ truyền thông được cung cấp trực tiếp đến người xem thông qua Internet (Over The Top - OTT) trở thành một trong những mục tiêu bị tin tặc tấn công nhiều nhất. Bài báo đưa ra thực trạng sử dụng dịch vụ ứng dụng OTT tại Việt Nam và những thách thức trong công tác bảo đảm an ninh, an toàn thông tin trên các thiết bị di động và dữ liệu cá nhân trong thời gian qua. Từ đó, đưa ra các giải pháp nhằm nâng cao hiệu quả bảo đảm an ninh, an toàn thông tin cho dữ liệu cá nhân người dùng ứng dụng OTT trên nền tảng Internet trong thời gian tới.
09:00 | 27/12/2023
