u/ElectroAdeptus

https://preview.redd.it/tvub7gpreruh1.png?width=1168&format=png&auto=webp&s=b07217beb76ca97d7a17eea053f65332b0afcf58

Компания под названием CryptoBilis была авторизованным реселлером Ledger в Юго-Восточной Азии. Надёжная. Легитимная. Продавала Ledger годами.

Случайная китайская компания тихо купила CryptoBilis у её малайзийского владельца.

Заставили оригинального владельца подписать соглашение о конфиденциальности. Он не мог никому сказать, что компания продана.

То же название бренда. Тот же сайт. Тот же значок «авторизованный реселлер». Но теперь за этим стоят другие люди.

Новые владельцы начали вскрывать каждое устройство Ledger перед отправкой.

Припаивали крошечный шпионский чип к плате внутри. Переупаковывали. Запечатывали коробку. Отправляли.

Устройство выглядело нормально. Ощущалось нормально. Работало нормально.

Но шпионский чип молча захватывал ваши приватные ключи в момент настройки.

Ваша seed-фраза была отправлена злоумышленнику ещё до того, как вы закончили её записывать.

Сотни кошельков по Ethereum, Tron и Bitcoin. Все опустошены.

Парень, который потерял 5,3 миллиона долларов, сказал: «Я сделал всё правильно. Без плеча. Без мемкоинов. Я хранил свои средства на аппаратном кошельке, как нам всем советуют».

Он был прав. Он сделал всё правильно.

Кроме того, что в его устройстве сидел паразит, которого он не мог увидеть.

Ledger теперь велел CryptoBilis прекратить все продажи. Сказал недавним покупателям НЕ настраивать свои устройства.

Марк Карпелес выложил фото импланта. Нормальная плата сверху. Шпионский чип снизу.

Самое опасное нападение в крипте в этом году — не строка кода.

Это была бизнес-сделка по приобретению.

Иегуда Линделл, глава направления криптографии в Coinbase, профессор компьютерных наук Университета Бар-Илан

Если кому-то кажется, что я призываю отказаться от осторожности или считаю, что ИИ не создаст проблем ни для какой криптографии, то это не так. Попробую сформулировать, каким, на мой взгляд, должен быть взвешенный подход к теме ИИ и криптографии.

В последнее время ИИ добился серьёзных успехов в решении математических задач. Есть и продвижения в криптоанализе (например, атаки на HAWK). Значит ли это, что ИИ полностью взломает всю широко используемую стандартную криптографию? И что нам с этим делать?

Весьма вероятно, что ИИ усилит криптоаналитические атаки. Возможно, появится более быстрый алгоритм факторизации, более эффективные различающие атаки (distinguishing attacks) на AES с уменьшенным числом раундов (reduced-round), более удачные коллизии для SHA с уменьшенным числом раундов, более сильные алгоритмические атаки на задачи на решётках (lattice problems) и так далее.

Будет ли что-то из этого взломано полностью? Узнать это заранее невозможно, но, может быть, и будет. Так же невозможно узнать, что именно. Самый вероятный сценарий — придётся увеличить длину ключей, но это уже заложено в практику: мы перешли на RSA-2048 много лет назад, а RSA-1024 до сих пор не взломан.

Можно предположить, что одни задачи окажутся более уязвимыми для криптоанализа с помощью ИИ, чем другие. На мой взгляд (и это субъективное мнение), это те области, где прогресс уже был в прошлом и где у ИИ есть инструменты, которые можно улучшать: факторизация, криптоанализ хеш-функций, алгоритмы для решёток.

В криптографии на эллиптических кривых (elliptic-curve cryptography) за 30 лет не было никакого прогресса. Лучшие алгоритмы против неё — универсальные (generic): для 256-битных кривых они требуют порядка 2^128 операций (не считая оптимизаций по памяти и т. п.). Значит ли это, что ИИ не совершит здесь чего-то радикального? Нет, но и оснований думать, что совершит, тоже нет.

Так что же, просто игнорировать вероятность того, что ИИ совершит прорыв в криптоанализе? Нет, так я тоже не считаю. Напротив, сейчас как никогда важно взять на вооружение консервативные подходы, предложенные ещё десятилетия назад. Прежде всего — гибридные устойчивые схемы (hybrid robust schemes).

Гибридная устойчивая схема опирается сразу на несколько криптографических допущений. Например, мультиподпись 2-из-2 (2-of-2 multisig), где одна подпись основана на эллиптических кривых, а другая — на хеш-функциях, или одна на решётках, а другая на хешах (для постквантовой защиты). Такая схема защищает, даже если одно из допущений окажется взломанным. В зависимости от требований можно использовать и схему 3-из-3.

Поэтому разумная рекомендация для блокчейнов — закладывать такие возможности уже сейчас, готовясь к переходу на постквантовую криптографию. Но это касается не только блокчейнов: то же верно и для другой критической инфраструктуры, например для подписи кода (code signing).

Сейчас нет никаких признаков того, что происходит что-то серьёзное, поэтому спешить незачем: спешка ведёт к ошибкам. Но выстраивать долгосрочный консервативный подход, сочетающий разные криптографические допущения, — хорошая идея, и её стоит поддерживать.