Tiêu đề gốc: "Vấn đề đặc biệt về bảo mật 04 |  OKX Web3 & OneKey: Thêm một số "Buff" vào bảo mật thiết bị"

Nguồn gốc: OKX

Giới thiệu | Ví OKX Web3 đã lên kế hoạch đặc biệt cho cột "Vấn đề bảo mật đặc biệt" để cung cấp câu trả lời đặc biệt cho các loại vấn đề bảo mật trên chuỗi khác nhau. Thông qua những trường hợp thực tế nhất xảy ra xung quanh người dùng, chúng tôi hợp tác với các chuyên gia hoặc tổ chức trong lĩnh vực bảo mật để chia sẻ và giải đáp các câu hỏi từ các góc độ khác nhau, từ đó sàng lọc và tóm tắt các quy tắc giao dịch an toàn từ nông cạn đến sâu hơn, nhằm tăng cường an toàn cho người dùng. giáo dục và giúp Người dùng học cách bảo vệ tính bảo mật của khóa riêng và tài sản ví khỏi chính họ.

Lướt sóng trong thế giới Web3, bạn không thể tiết kiệm được 2 đô la

Một khoản tiền là trả trên chuỗi Gas; một số tiền là để mua thiết bị ngoài chuỗi

Nhưng dù là trên chuỗi hay ngoài chuỗi thì sự an toàn đều quan trọng như nhau~

Vấn đề này là vấn đề thứ 04 trong số đặc biệt về bảo mật. Nhóm bảo mật OneKey của nhà cung cấp ví phần cứng mã hóa và nhóm bảo mật ví OKX Web3 được mời đặc biệt để dạy bạn thêm một số cách. "Tăng cường" tính bảo mật cho thiết bị của bạn dưới góc độ hướng dẫn thực tế.

Nhóm bảo mật OneKey:OneKey được thành lập vào năm 19 Vào năm 2017, đây là một công ty ví phần cứng và ví phần mềm nguồn mở tập trung vào bảo mật. Nó cũng có phòng thí nghiệm phòng thủ và tấn công bảo mật và đã nhận được sự hỗ trợ từ các tổ chức hàng đầu như Coinbase, Ribbit Capital và Dragonfly. Hiện nay, ví phần cứng OneKey đang trở thành một trong những thương hiệu ví phần cứng bán chạy nhất Châu Á.

Nhóm bảo mật ví OKX Web3:Xin chào mọi người, tôi rất vui được chia sẻ điều này. Nhóm bảo mật ví OKX Web3 chịu trách nhiệm chính trong việc xây dựng các khả năng bảo mật khác nhau của OKX trong lĩnh vực Web3, chẳng hạn như xây dựng khả năng bảo mật ví, kiểm tra bảo mật hợp đồng thông minh, giám sát bảo mật dự án trên chuỗi, v.v. để cung cấp cho người dùng sản phẩm bảo mật, bảo mật quỹ, bảo mật giao dịch, v.v. Nhiều dịch vụ bảo vệ góp phần duy trì hệ sinh thái bảo mật của toàn bộ chuỗi khối.

Q1: Bạn có thể chia sẻ một số trường hợp rủi ro thiết bị thực tế của người dùng không

OneKey Nhóm bảo mật:Các trường hợp rủi ro thiết bị liên quan đến người dùng Web3 rất đa dạng. Hãy đưa ra một số ví dụ về một số trường hợp phổ biến.

Trường hợp 1: Sau khi người dùng Alice để lại thiết bị của mình, thiết bị của cô ấy đã bị ai đó xung quanh xâm nhập vật lý mà cô ấy không hề hay biết và tài sản của cô ấy đã bị đánh cắp. Đây thường được gọi là “cuộc tấn công của Ác ma” trong lĩnh vực bảo mật máy tính và là một trong những loại rủi ro thiết bị phổ biến nhất mà người dùng gặp phải.

Từ đồng nghiệp trong "xưởng dựng tóc gáy", đến cô dọn phòng, hay thậm chí là người thân thiết với bạn, có thể có một cuộc tấn công được thúc đẩy bởi lợi ích tài chính. Trước đây, chúng tôi đã hỗ trợ người dùng truy tìm hành vi trộm cắp tài sản trong ví phần cứng. Sau khi người dùng báo cáo tội phạm, sàn giao dịch báo cáo đã lấy được KYC của tài khoản sàn giao dịch mà kẻ tấn công sử dụng. có người xung quanh anh ta. Như câu nói, "Hãy coi chừng mọi thứ. Thật khó để đề phòng kẻ trộm trong nước."

Trường hợp 2: Người dùng Bob bị ép buộc về mặt thể chất và phải giao nộp thiết bị của mình với quyền kiểm soát tài sản. Đây là một cái tên lố bịch trong giới mã hóa—— "$5. Cuộc tấn công bằng cờ lê."

Trong những năm gần đây, với sự xuất hiện của hiệu ứng giàu có của Crypto, việc bắt cóc và tống tiền nhắm vào những cá nhân có giá trị tài sản ròng cao dường như ngày càng trở nên khốc liệt hơn, đặc biệt là ở các nước những quốc gia có tỷ lệ tội phạm cao. Vào đầu năm 2023, các phương tiện truyền thông đưa tin về việc một loại tiền ảo giao dịch ngoại tuyến đã bị cướp. Nạn nhân đã tham dự một buổi họp mặt các nhà đầu tư tiền kỹ thuật số ngoại tuyến và bị bọn tội phạm điều khiển trong xe sau bữa ăn, bọn tội phạm đã cưỡng bức sử dụng nhận dạng khuôn mặt của nạn nhân để mở khóa điện thoại và phần mềm ví, đổi tiền điện tử trong ví lấy 4,1 triệu USDT, sau đó chuyển ngay lập tức. số tiền đó và rời đi. Gần đây, trên Twitter cũng phổ biến thông tin một OG khai thác tiền điện tử nói rằng anh ta đã bị một nhóm tội phạm quốc tế cướp và bị tống tiền hầu hết tài sản tiền điện tử mà anh ta đã tích lũy được trong suốt cuộc đời mình.

Nhóm bảo mật ví OKX Web3:Chủ đề hôm nay rất hay. Trước đây chúng ta đã nói về bảo mật khóa riêng, bảo mật giao dịch MEME và ở đó. có nhiều chủ đề bảo mật trên chuỗi như Bảo mật Mao. Trên thực tế, bảo mật thiết bị cũng rất quan trọng. Chúng tôi chia sẻ một số trường hợp điển hình.

Trường hợp 1: Ví phần cứng giả mạo

Người dùng A chưa bao giờ được ủy quyền Nền tảng đã mua ví phần cứng và bắt đầu sử dụng nó mà không cần xác minh. Trên thực tế, phần mềm cơ sở của ví đã bị giả mạo và đã tạo trước nhiều bộ cụm từ ghi nhớ. Tài sản tiền điện tử được người dùng cuối lưu trữ trong ví phần cứng đã bị tin tặc kiểm soát hoàn toàn, dẫn đến tổn thất nặng nề.

Các biện pháp phòng ngừa: 1) Người dùng nên cố gắng mua ví phần cứng từ các kênh chính thức hoặc đáng tin cậy. 2) Trước khi sử dụng ví, hãy tiến hành quy trình xác minh chính thức hoàn chỉnh để đảm bảo tính bảo mật của phần sụn.

Trường hợp 2: Tấn công lừa đảo

Người dùng B nhận được email từ "Trung tâm bảo mật ví " Email giải thích rằng có vấn đề bảo mật với ví của người dùng và yêu cầu người dùng nhập cụm từ khôi phục của ví để cập nhật bảo mật. Trên thực tế, đây là một cuộc tấn công lừa đảo được thiết kế tốt và cuối cùng người dùng đã mất tất cả tài sản của mình.

Các biện pháp phòng ngừa: 1) Người dùng không bao giờ nên nhập khóa riêng tư hoặc cụm từ khôi phục trên bất kỳ trang web nào chưa được xác minh. 2) Sử dụng màn hình của ví phần cứng để xác minh tất cả thông tin giao dịch và hoạt động.

Trường hợp 3: Bảo mật phần mềm

Người dùng C đã tải xuống phần mềm độc hại từ các kênh chưa được xác minh Phần mềm, khi người dùng thực hiện các thao tác ví, tổn thất tài sản xảy ra do logic độc hại trong phần mềm.

Các biện pháp phòng ngừa: 1) Người dùng tải xuống phần mềm từ các kênh chính thức và thường xuyên cập nhật phần mềm và chương trình cơ sở liên quan. 2) Bảo vệ thiết bị của bạn bằng phần mềm chống vi-rút và tường lửa.

Q2: Thiết bị và cơ sở vật chất thường được người dùng sử dụng và các loại rủi ro

Nhóm bảo mật OneKey : Các thiết bị liên quan đến bảo mật tài sản của người dùng thường bao gồm điện thoại di động, máy tính, ví phần cứng, thiết bị lưu trữ USB và thiết bị liên lạc mạng (chẳng hạn như WIFI) của người dùng.

Ngoài "Evil Maid Attack" và "Evil Maid Attack" mà chúng ta sẽ gặp phải khi rời khỏi thiết bị, cũng như tội phạm bạo lực "Cờ lê 5$ Tấn công" Tấn công cờ lê $5)", bên dưới chúng tôi sẽ bổ sung thêm một số khía cạnh cần đặc biệt chú ý.

1. Các cuộc tấn công lừa đảo và kỹ thuật lừa đảo

Các cuộc tấn công kỹ thuật xã hội và lừa đảo hiện đang rất nguy hiểm. Phương thức tấn công phổ biến và hiệu quả. Kẻ tấn công lợi dụng điểm yếu của con người để lừa người dùng thực hiện các hoạt động nguy hiểm. Ví dụ: với các liên kết và tệp đính kèm lừa đảo độc hại, kẻ tấn công có thể gửi email, tin nhắn văn bản hoặc tin nhắn mạng xã hội có chứa liên kết độc hại, được ngụy trang dưới dạng một nguồn đáng tin cậy, chẳng hạn như thông báo ngân hàng hoặc cảnh báo từ nền tảng mạng xã hội. Khi người dùng nhấp vào các liên kết này hoặc tải xuống tệp đính kèm, phần mềm độc hại sẽ được cấy vào thiết bị, cho phép thiết bị bị xâm phạm từ xa.

Một ví dụ khác, giả vờ là người hỗ trợ kỹ thuật, kẻ tấn công có thể giả vờ là người hỗ trợ kỹ thuật và liên hệ với người dùng qua điện thoại hoặc email, tuyên bố rằng có vấn đề với thiết bị của họ và hành động ngay lập tức đó là cần thiết. Chúng có thể xúi giục người dùng cung cấp quyền truy cập từ xa vào thiết bị hoặc tiết lộ thông tin nhạy cảm. Hiện tại, chỉ cần bạn đề cập đến các thuật ngữ liên quan đến tiền điện tử trên Twitter, một đội quân bot sẽ sớm đến giả vờ hỗ trợ kỹ thuật và "phục vụ" bạn.

2. Tấn công chuỗi cung ứng

Tấn công chuỗi cung ứng đề cập đến sự tham gia của kẻ tấn công vào quá trình sản xuất hoặc cấy ghép độc hại trong quá trình vận chuyển. Biểu hiện cụ thể là ba điểm sau đây.

Đầu tiên là giả mạo phần cứng. Kẻ tấn công có thể chèn phần mềm độc hại vào quy trình sản xuất ví phần cứng hoặc thiết bị lưu trữ USB. Ví dụ: người dùng mua thiết bị phần cứng từ các nguồn không đáng tin cậy có thể nhận được các thiết bị giả mạo có thể được cài đặt sẵn phần mềm độc hại có khả năng đánh cắp thông tin hoặc cho phép truy cập từ xa.

Vấn đề thứ hai là giả mạo phần mềm. Kẻ tấn công có thể hoạt động trong chuỗi cung ứng phần mềm của thiết bị, giả mạo các gói cập nhật phần mềm hoặc chương trình cơ sở. Khi người dùng tải xuống và cài đặt các bản cập nhật này, thiết bị có thể bị nhiễm backdoor hoặc các loại mã độc khác.

Thứ ba là tấn công hậu cần: Trong quá trình vận chuyển thiết bị, kẻ tấn công có thể chặn và giả mạo thiết bị. Ví dụ: các thiết bị phần cứng có thể được thay thế hoặc giả mạo trong quá trình phân phối, giúp kẻ tấn công thực hiện các cuộc tấn công tiếp theo dễ dàng hơn.

3. Kẻ tấn công trung gian

Kẻ tấn công trung gian. Middle Attack, MITM) đề cập đến việc truyền dữ liệu bị kẻ tấn công chặn và giả mạo trong quá trình liên lạc giữa hai bên.

Ví dụ: khi người dùng sử dụng thông tin liên lạc qua mạng không được mã hóa, kẻ tấn công có thể dễ dàng chặn và giả mạo dữ liệu đang truyền. Nghĩa là, khi sử dụng trang web HTTP không được mã hóa, kẻ tấn công có thể chặn và sửa đổi dữ liệu mà người dùng gửi và nhận.

Một ví dụ khác là WIF công cộng. Khi sử dụng WIFI công cộng, việc truyền dữ liệu của người dùng có nhiều khả năng bị chặn bởi những kẻ tấn công. Những kẻ tấn công thậm chí có thể thiết lập các điểm truy cập WIFI công cộng độc hại và khi người dùng kết nối, kẻ tấn công có thể theo dõi và đánh cắp thông tin nhạy cảm của người dùng, chẳng hạn như thông tin đăng nhập và hồ sơ giao dịch ngân hàng. Trong trường hợp nghiêm trọng, WIFI của chính bạn có thể bị hack để cài đặt phần mềm độc hại.

4. Các cuộc tấn công nội bộ của bên thứ ba và các lỗ hổng phần mềm

Các cuộc tấn công và lỗ hổng phần mềm nội bộ của bên thứ ba. Lỗ hổng phần mềm, là rủi ro khó kiểm soát đối với người dùng nhưng lại là yếu tố có tác động đáng kể đến tính bảo mật của thiết bị vật lý.

Những lỗi phổ biến nhất là lỗ hổng bảo mật phần mềm và phần cứng. Những lỗ hổng này có thể bị kẻ tấn công khai thác để tiến hành các cuộc tấn công từ xa hoặc tấn công bỏ qua vật lý. Ví dụ: một số plug-in hoặc ứng dụng có thể có các lỗ hổng chưa được phát hiện có thể cho phép kẻ tấn công giành quyền kiểm soát thiết bị. Điều này thường có thể được giải quyết bằng cách cập nhật các bản cập nhật bảo mật. Đồng thời, phần cứng nên cân nhắc sử dụng chip mã hóa mới nhất.

Hoạt động nội bộ về phía phần mềm: Người nội bộ của nhà phát triển phần mềm hoặc nhà cung cấp dịch vụ có thể lạm dụng quyền truy cập của họ, thực hiện các hoạt động độc hại, đánh cắp dữ liệu người dùng hoặc mã độc được nhúng trong phần mềm. Hoặc có thể do các yếu tố bên ngoài dẫn đến hoạt động độc hại.

Ví dụ: đã xảy ra trường hợp tài sản bị đánh cắp từ "Lumao Studio" do sử dụng một trình duyệt đa dấu vân tay nào đó. Điều này có thể do nội bộ bên trong gây ra. phần mềm hoặc plug-in. Điều này cho thấy ngay cả phần mềm hợp pháp cũng có thể gây ra mối đe dọa đối với bảo mật tài sản của người dùng nếu hệ thống kiểm soát nội bộ của nó không nghiêm ngặt.

Một ví dụ khác, Ledger đã từng bị hoảng loạn trước đó - có vấn đề với Connect Kit được nhiều dapp sử dụng. Nguyên nhân của vụ tấn công là do một cựu nhân viên trở thành nạn nhân của một cuộc tấn công lừa đảo chèn mã độc vào kho GitHub của Connect Kit. May mắn thay, nhóm bảo mật của Ledger đã triển khai các bản sửa lỗi trong vòng 40 phút sau khi được thông báo về sự cố và Tether đã đóng băng kịp thời số tiền USDT của kẻ tấn công.

Nhóm bảo mật ví OKX Web3: Chúng tôi tóm tắt một số thiết bị vật lý thường được người dùng sử dụng và mở rộng những rủi ro tiềm ẩn mà chúng có thể gây ra.

Các thiết bị vật lý thường được người dùng hiện tại sử dụng chủ yếu bao gồm: 1) Máy tính (máy tính để bàn và máy tính xách tay), được sử dụng để truy cập các ứng dụng phi tập trung (dApps) và quản lý Ví tiền điện tử, tham gia vào mạng blockchain, v.v. 2) Điện thoại thông minh và máy tính bảng để truy cập di động vào dApps, quản lý ví tiền điện tử và thực hiện giao dịch. 3) Ví phần cứng, các thiết bị đặc biệt (như Ledger, Trezor), được sử dụng để lưu trữ an toàn các khóa riêng của tiền điện tử nhằm ngăn chặn các cuộc tấn công của hacker. 4) Cơ sở hạ tầng mạng, bộ định tuyến, chuyển mạch, tường lửa và các thiết bị khác để đảm bảo sự ổn định và bảo mật của kết nối mạng. 5) Thiết bị nút, một thiết bị phần mềm chạy nút blockchain (có thể là máy tính cá nhân hoặc máy chủ chuyên dụng), tham gia vào sự đồng thuận mạng và xác minh dữ liệu. 6) Thiết bị lưu trữ lạnh, thiết bị dùng để lưu trữ khóa riêng ngoại tuyến, chẳng hạn như ổ USB, ví giấy, v.v., để ngăn chặn các cuộc tấn công trực tuyến.

Các rủi ro tiềm ẩn có thể phát sinh từ thiết bị vật chất hiện tại chủ yếu bao gồm các loại sau

1) Thiết bị vật lý rủi ro

→  Thiết bị bị mất hoặc hư hỏng: Thiết bị bị mất hoặc hư hỏng, chẳng hạn như ví phần cứng hoặc máy tính, có thể dẫn đến mất khóa riêng và không thể sử dụng để truy cập tài sản tiền điện tử.

 Xâm nhập vật lý: Tội phạm xâm nhập thiết bị thông qua các phương tiện vật lý và trực tiếp lấy được khóa riêng hoặc thông tin nhạy cảm.

2) Rủi ro an ninh mạng

 Phần mềm độc hại và vi-rút: Thông qua phần mềm độc hại Tấn công thiết bị của người dùng và đánh cắp khóa riêng hoặc thông tin nhạy cảm.

 Tấn công lừa đảo: Ngụy trang dưới dạng dịch vụ hợp pháp nhằm lừa người dùng cung cấp khóa riêng tư hoặc thông tin đăng nhập.

 Tấn công trung gian (MITM): Kẻ tấn công chặn và giả mạo thông tin liên lạc giữa người dùng và mạng blockchain.

3) Rủi ro về hành vi của người dùng

 Tấn công kỹ thuật xã hội: Những kẻ tấn công sử dụng kỹ thuật xã hội Lừa người dùng tiết lộ khóa riêng tư hoặc thông tin nhạy cảm khác.

→ Lỗi vận hành: Người dùng mắc lỗi vận hành khi giao dịch hoặc quản lý tài sản, có thể dẫn đến thất thoát tài sản.

4) Rủi ro kỹ thuật

 Lỗ hổng phần mềm: dApps, ví tiền điện tử hoặc vùng Các lỗ hổng trong giao thức blockchain có thể bị tin tặc khai thác.

 Lỗ hổng hợp đồng thông minh: Lỗ hổng trong mã hợp đồng thông minh có thể dẫn đến trộm tiền.

5) Rủi ro pháp lý và quy định

 Tuân thủ pháp luật: Các quốc gia khác nhau Quy định khác nhau chính sách về tiền điện tử và công nghệ chuỗi khối ở các khu vực khác nhau có thể ảnh hưởng đến bảo mật tài sản và quyền tự do giao dịch của người dùng.

 Thay đổi quy định: Những thay đổi đột ngột về chính sách có thể dẫn đến việc đóng băng tài sản hoặc hạn chế giao dịch.

Q3: Ví phần cứng có cần thiết để bảo mật khóa riêng không? Các loại biện pháp bảo vệ an ninh khóa riêng là gì

Nhóm bảo mật OneKey:Tất nhiên, mặc dù ví phần cứng không phải là lựa chọn duy nhất cho bảo mật khóa riêng, Đây thực sự là một cách rất hiệu quả để tăng cường bảo mật cho khóa riêng của bạn. Ưu điểm lớn nhất của nó là tách biệt các khóa riêng khỏi Internet từ quá trình tạo, ghi âm đến lưu trữ hàng ngày và yêu cầu người dùng trực tiếp xác minh và xác nhận chi tiết giao dịch trên thiết bị vật lý khi thực hiện bất kỳ giao dịch nào. Tính năng này ngăn chặn hiệu quả nguy cơ khóa riêng bị đánh cắp bởi phần mềm độc hại hoặc các cuộc tấn công của hacker.

Trước tiên hãy nói về ưu điểm của ví phần cứng:

1) Cách ly vật lý: phần cứng Ví lưu trữ khóa riêng trong các thiết bị chuyên dụng cách ly hoàn toàn với máy tính và thiết bị di động có kết nối Internet. Điều này có nghĩa là ngay cả khi máy tính hoặc điện thoại của người dùng bị nhiễm phần mềm độc hại, các khóa riêng tư vẫn được an toàn vì chúng không bao giờ tiếp xúc với Internet.

2) Xác minh giao dịch: Khi thực hiện giao dịch bằng ví phần cứng, người dùng phải xác nhận và xác minh chi tiết giao dịch trực tiếp trên thiết bị. Quá trình này khiến kẻ tấn công không thể chuyển tài sản mà không được phép ngay cả khi chúng lấy được thông tin tài khoản trực tuyến của người dùng.

3) Chip bảo mật: Nhiều ví phần cứng sử dụng chip bảo mật chuyên dụng để lưu trữ khóa riêng. Những con chip này trải qua các chứng nhận bảo mật nghiêm ngặt như CC EAL6+ (tiêu chuẩn được sử dụng bởi các ví phần cứng mới như OneKey Pro và
Ledger Stax) để bảo vệ hiệu quả trước các cuộc tấn công kênh bên vật lý. Chip bảo mật không chỉ ngăn chặn truy cập trái phép mà còn chống lại nhiều phương thức tấn công nâng cao, chẳng hạn như tấn công phân tích điện từ và phân tích năng lượng.

Ngoài ví phần cứng, còn có nhiều cách để nâng cao tính bảo mật của khóa riêng. Người dùng có thể lựa chọn giải pháp phù hợp theo nhu cầu riêng:

1) Ví giấy: Ví giấy là phương thức lưu trữ ngoại tuyến in khóa riêng và khóa chung trên giấy. Mặc dù phương pháp này đơn giản và hoàn toàn ngoại tuyến nhưng bạn cần chú ý đến các vấn đề bảo mật vật lý như chống cháy, chống ẩm, chống mất mát. Nếu có thể, tốt nhất bạn nên mua một mẫu kim loại để ghi vật lý (có rất nhiều lựa chọn trên thị trường, chẳng hạn như KeyTag của OneKey).

2) Ví lạnh trên điện thoại di động: Ví lạnh đề cập đến khóa riêng hoặc tài sản được mã hóa được lưu trữ hoàn toàn ngoại tuyến, chẳng hạn như điện thoại di động hoặc máy tính ngoại tuyến. Tương tự như ví phần cứng, ví lạnh cũng có thể bảo vệ khỏi các cuộc tấn công mạng một cách hiệu quả nhưng người dùng cần phải tự cấu hình và quản lý các thiết bị này.

3) Bộ nhớ được mã hóa phân đoạn: Bộ nhớ được mã hóa phân đoạn là phương pháp chia khóa riêng thành nhiều phần và lưu trữ chúng ở các vị trí khác nhau. Ngay cả khi kẻ tấn công lấy được một phần khóa riêng thì việc khôi phục hoàn toàn cũng không thể thực hiện được. Phương pháp này cải thiện tính bảo mật bằng cách tăng độ khó của các cuộc tấn công, tuy nhiên người dùng cần quản lý từng đoạn khóa riêng để tránh không thể khôi phục khóa riêng do mất một số đoạn.

4) Multi-signature (Multisig): Công nghệ đa chữ ký yêu cầu nhiều khóa riêng để ký các giao dịch với nhau để hoàn tất thao tác chuyển khoản. Phương pháp này cải thiện tính bảo mật bằng cách tăng số lượng người ký, ngăn chặn hành vi trộm cắp một khóa riêng và gây ra việc chuyển giao tài sản. Ví dụ: có thể thiết lập tài khoản nhiều chữ ký có chữ ký của ba bên để giao dịch chỉ có thể được thực hiện khi có ít nhất hai khóa riêng đồng ý. Điều này không chỉ cải thiện tính bảo mật mà còn cho phép quản lý và kiểm soát linh hoạt hơn.

5) Công nghệ mã hóa tiên tiến: Với sự phát triển của công nghệ, một số công nghệ mã hóa mới nổi liên tục được sử dụng trong việc bảo vệ khóa riêng. Ví dụ: các công nghệ như Lược đồ chữ ký ngưỡng (TSS) và Tính toán nhiều bên (MPC) cải thiện hơn nữa tính bảo mật và độ tin cậy của việc quản lý khóa riêng thông qua tính toán và cộng tác phân tán. Điều này thường được các doanh nghiệp sử dụng nhiều hơn và hiếm khi được sử dụng bởi các cá nhân.

Nhóm bảo mật ví OKX Web3: Ví phần cứng bảo vệ khóa riêng tư bằng cách lưu trữ chúng trên một thiết bị ngoại tuyến riêng biệt. Bị đánh cắp bởi các cuộc tấn công mạng, phần mềm độc hại hoặc các mối đe dọa trực tuyến khác. So với ví phần mềm và các hình thức lưu trữ khác, ví phần cứng mang lại mức độ bảo mật cao hơn và đặc biệt phù hợp với người dùng cần bảo vệ số lượng lớn tài sản tiền điện tử. Đối với các biện pháp bảo vệ an ninh khóa riêng, có lẽ chúng ta có thể bắt đầu từ các quan điểm sau:

1) Sử dụng thiết bị lưu trữ an toàn: chọn ví phần cứng đáng tin cậy hoặc kho lạnh khác thiết bị, Giảm nguy cơ khóa riêng bị đánh cắp bởi các cuộc tấn công mạng.

2) Thiết lập chương trình giáo dục nhận thức bảo mật toàn diện: tăng cường nhận thức về tầm quan trọng và việc bảo vệ bảo mật khóa riêng, đồng thời luôn cảnh giác với bất kỳ trang web hoặc chương trình nào yêu cầu đầu vào của khóa riêng Khi bạn phải sao chép và dán khóa riêng, bạn chỉ có thể sao chép một phần của nó và để lại một vài ký tự để nhập thủ công nhằm ngăn chặn các cuộc tấn công vào clipboard.

3) Lưu trữ an toàn các ghi nhớ và khóa riêng: Tránh chụp ảnh, chụp ảnh màn hình hoặc ghi lại các ghi nhớ trực tuyến. Cố gắng viết chúng ra giấy và lưu trữ chúng ở nơi an toàn. . Nơi đo.

4) Lưu trữ khóa riêng tư riêng biệt: Chia khóa riêng thành nhiều phần và lưu trữ chúng ở những nơi khác nhau để giảm nguy cơ lỗi một điểm.

Q4: Các lỗ hổng hiện tại trong xác thực và kiểm soát truy cập

Nhóm bảo mật OneKey: Blockchain không cần xác định và lưu trữ thông tin nhận dạng của chúng tôi như Web2. Nó sử dụng mật mã để đạt được quyền tự quản lý và quyền truy cập vào tài sản. Điều này có nghĩa là khóa riêng là tất cả. Rủi ro lớn nhất trong việc kiểm soát quyền truy cập của người dùng đối với tài sản tiền điện tử thường xuất phát từ việc lưu trữ khóa riêng tư không đúng cách - xét cho cùng, khóa riêng tư của người dùng là thông tin xác thực duy nhất để truy cập tài sản tiền điện tử. Nếu khóa riêng bị mất, bị đánh cắp hoặc bị lộ hoặc thậm chí gặp thiên tai, tài sản có thể bị mất vĩnh viễn.

Đây cũng là ý nghĩa cho sự tồn tại của các thương hiệu như OneKey, nhằm cung cấp cho người dùng giải pháp tự lưu trữ khóa riêng tư an toàn. Nhiều người dùng thường thiếu nhận thức về bảo mật khi quản lý khóa riêng và sử dụng các phương thức lưu trữ không an toàn (chẳng hạn như lưu khóa riêng trong tài liệu và ảnh chụp màn hình trực tuyến). Cách tốt nhất là sử dụng tính năng tạo và lưu trữ ngoại tuyến Ngoài việc đổ xúc xắc và viết tay thủ công, bạn cũng có thể cân nhắc sử dụng ví phần cứng đã đề cập trước đó với các từ ghi nhớ được khắc trên các tấm kim loại.

Tất nhiên, cũng có nhiều người dùng sử dụng tài khoản trao đổi để lưu trữ tài sản trực tiếp tại thời điểm này, việc xác thực và kiểm soát truy cập tương tự như Web2 hơn.

Điều này sẽ liên quan đến nhận thức về bảo mật mật khẩu của người dùng. Việc sử dụng mật khẩu yếu và lặp đi lặp lại là một vấn đề phổ biến. Người dùng có xu hướng sử dụng mật khẩu đơn giản, dễ đoán hoặc sử dụng lại cùng một mật khẩu trên nhiều nền tảng (chẳng hạn như email xác minh), làm tăng nguy cơ bị bẻ khóa hoặc tấn công vũ phu sau khi vi phạm dữ liệu.

Mặc dù xác thực đa yếu tố (như mã xác minh SMS, Google Authenticator) có thể tăng tính bảo mật nhưng nếu không được triển khai đúng cách hoặc có sơ hở (chẳng hạn như SMS cướp), cũng sẽ là mục tiêu. Ví dụ: tấn công hoán đổi SIM chiếm quyền điều khiển SMS - kẻ tấn công lừa dối hoặc hối lộ nhân viên của nhà mạng di động để chuyển số điện thoại của nạn nhân sang thẻ SIM do kẻ tấn công kiểm soát, từ đó nhận được tất cả mã xác minh SMS được gửi đến điện thoại di động của nạn nhân. Vitalik trước đó đã từng hứng chịu một cuộc tấn công "SIM SWAP". Kẻ tấn công đã sử dụng Twitter của mình để gửi tin nhắn lừa đảo khiến tài sản của nhiều người bị thiệt hại. Ngoài ra, những mã dự phòng được lưu trữ không đúng cách cho các thiết bị xác thực đa yếu tố như "Google Authenticator" có thể bị kẻ tấn công lấy được và sử dụng để tấn công tài khoản.

Nhóm bảo mật ví OKX Web3:Đây là phần đáng được quan tâm vào lúc này là<. /p>

1) Mật khẩu yếu và sử dụng lại mật khẩu: Người dùng thường sử dụng mật khẩu đơn giản, dễ đoán hoặc sử dụng lại cùng một mật khẩu trên nhiều dịch vụ, làm tăng rủi ro về mật khẩu bị bẻ khóa hoặc đi qua bằng vũ lực. Rủi ro xảy ra thông qua các kênh rò rỉ khác.

2) Xác thực đa yếu tố (MFA) không đầy đủ: Xác thực đa yếu tố trong Web2 có thể cải thiện đáng kể tính bảo mật, nhưng một khi khóa riêng bị rò rỉ trong ví web3, điều đó có nghĩa là kẻ tấn công không có tất cả các quyền vận hành tài khoản nên rất khó để thiết lập cơ chế MFA hiệu quả.

3) Tấn công lừa đảo và kỹ thuật xã hội: Những kẻ tấn công lừa người dùng rò rỉ thông tin nhạy cảm thông qua email lừa đảo, trang web giả mạo, v.v. Các trang web lừa đảo web3 hiện nay có đặc điểm là phân nhóm và hướng tới dịch vụ. Nếu không có đủ nhận thức về bảo mật, bạn rất dễ bị lừa.

4) Quản lý khóa API không đúng cách: Nhà phát triển có thể mã hóa khóa API trong ứng dụng khách hoặc không thực hiện kiểm soát quyền phù hợp và quản lý Ngày hết hạn có thể khiến khóa bị lạm dụng sau khi bị rò rỉ.

Q5: Người dùng nên làm cách nào để ngăn chặn những rủi ro do các công nghệ ảo mới nổi như AI thay đổi khuôn mặt mang lại?

Nhóm bảo mật OneKey:Tại hội nghị BlackHat 2015, tin tặc toàn cầu đã nhất trí rằng công nghệ nhận dạng khuôn mặt là phương pháp Xác thực danh tính không đáng tin cậy nhất. Gần chục năm sau, với sự tiến bộ của công nghệ AI, chúng ta gần như có được “thần dược” thay thế khuôn mặt hoàn hảo. Đúng như dự đoán, nhận dạng khuôn mặt bằng hình ảnh thông thường không còn có thể đảm bảo an ninh. Lúc này, quan trọng hơn, bên nhận dạng cần nâng cấp công nghệ thuật toán để nhận diện và ngăn chặn nội dung giả mạo sâu.

Liên quan đến rủi ro của việc thay đổi khuôn mặt AI, người dùng thực sự không thể làm gì nhiều ngoại trừ việc bảo vệ dữ liệu sinh trắc học riêng tư của họ. Dưới đây là một số gợi ý nhỏ:

1) Thận trọng khi sử dụng các ứng dụng nhận dạng khuôn mặt

Người dùng Khi chọn ứng dụng nhận dạng khuôn mặt để sử dụng, chọn những ứng dụng có hồ sơ bảo mật và chính sách quyền riêng tư tốt. Tránh sử dụng các ứng dụng từ các nguồn không xác định hoặc có vấn đề về bảo mật và cập nhật phần mềm của bạn thường xuyên để đảm bảo bạn có các bản vá bảo mật mới nhất. Trước đây, nhiều ứng dụng của công ty cho vay nhỏ ở Trung Quốc đã sử dụng trái phép dữ liệu khuôn mặt của người dùng để bán lại và rò rỉ dữ liệu khuôn mặt của người dùng.

2) Hiểu xác thực đa yếu tố (MFA)

Có rất nhiều vấn đề với xác thực đơn xác thực sinh trắc học Rủi ro rất cao nên việc kết hợp nhiều phương pháp xác thực có thể cải thiện đáng kể tính bảo mật. Xác thực đa yếu tố (MFA) kết hợp nhiều phương pháp xác minh như dấu vân tay, quét mống mắt, nhận dạng giọng nói và thậm chí cả dữ liệu DNA. Đối với bên nhận dạng, phương thức xác thực kết hợp này có thể cung cấp một lớp bảo mật bổ sung nếu một phương thức xác thực bị xâm phạm. Điều quan trọng nữa là người dùng phải bảo vệ dữ liệu riêng tư của mình.

3) Hãy nghi ngờ và đề phòng những trò lừa đảo

Rõ ràng, giờ đây AI có thể bắt chước khuôn mặt và giọng nói của con người nên việc mạo danh một người trên Internet đã trở nên dễ dàng hơn nhiều. Người dùng nên đặc biệt cảnh giác với các yêu cầu liên quan đến thông tin nhạy cảm hoặc chuyển tiền và sử dụng xác minh hai bước để xác nhận danh tính của bên kia qua điện thoại hoặc gặp trực tiếp. Hãy cảnh giác, không tin tưởng vào các yêu cầu khẩn cấp và xác định các thủ thuật gian lận phổ biến như mạo danh giám đốc điều hành, người quen và nhân viên dịch vụ khách hàng. Hiện nay có rất nhiều người nổi tiếng giả mạo. Khi tham gia một số dự án, bạn phải cẩn thận với "nền tảng giả".

Nhóm bảo mật ví OKX Web3:Nói chung, các công nghệ ảo mới nổi mang đến những rủi ro mới và những rủi ro mới trên thực tế. Nó cũng sẽ mang lại những nghiên cứu về các kỹ thuật phòng thủ mới và nghiên cứu về các kỹ thuật phòng thủ mới sẽ mang lại những sản phẩm kiểm soát rủi ro mới.

1. Nguy cơ giả mạo AI

Trong lĩnh vực thay đổi khuôn mặt AI, có AI đã thay đổi khuôn mặt của nhiều người Với sự xuất hiện của các sản phẩm nhận diện khuôn mặt, ngành công nghiệp hiện tại đã đề xuất một số phương pháp tự động phát hiện video người giả, tập trung vào việc phát hiện các yếu tố duy nhất (dấu vân tay) được tạo ra do sử dụng deepfake trong nội dung kỹ thuật số. quan sát cẩn thận các đặc điểm khuôn mặt, các cạnh Xử lý, âm thanh và video không đồng bộ cũng như các phương pháp khác để xác định việc thay đổi khuôn mặt AI. Ngoài ra, Microsoft cũng đã tung ra một loạt công cụ nhằm hướng dẫn người dùng về khả năng nhận dạng deepfack. khả năng nhận dạng cá nhân

2. Rủi ro về dữ liệu và quyền riêng tư

Việc áp dụng các mô hình lớn trong nhiều lĩnh vực khác nhau các trường cũng gây ra rủi ro về dữ liệu người dùng và Quyền riêng tư khi sử dụng robot đàm thoại, người dùng nên chú ý đến việc bảo vệ thông tin riêng tư cá nhân, cố gắng tránh nhập trực tiếp các thông tin quan trọng như khóa riêng, khóa, mật khẩu, v.v. để ẩn thông tin chính của họ thông qua việc thay thế, nhầm lẫn, v.v. Đối với các nhà phát triển, Github cung cấp một loạt các phát hiện thân thiện. Nếu có apikey OpenAI hoặc các rò rỉ quyền riêng tư rủi ro khác trong mã đã gửi, Push tương ứng sẽ báo lỗi.

3. Nguy cơ lạm dụng trong việc tạo nội dung

Trong công việc hàng ngày của người dùng, họ có thể gặp phải Nhiều mô hình lớn tạo ra nội dung Mặc dù những nội dung này có hiệu quả nhưng việc lạm dụng tạo nội dung cũng mang đến thông tin sai lệch và các vấn đề về bản quyền trí tuệ. Hiện có một số sản phẩm được sử dụng để phát hiện xem nội dung văn bản có phải do các mô hình lớn tạo ra hay không, điều này có thể làm giảm. một số rủi ro tương ứng. Ngoài ra, khi sử dụng tính năng tạo mã cho các mô hình lớn, nhà phát triển cũng nên chú ý đến tính chính xác và bảo mật của các chức năng mã được tạo ra. Đối với mã nguồn mở hoặc nhạy cảm, phải thực hiện đánh giá và kiểm tra đầy đủ

<. br>

4. Sự chú ý và học hỏi hàng ngày

Người dùng phải có ý thức khi duyệt các video ngắn, video dài và nhiều bài viết khác nhau hàng ngày Để phán đoán và xác định, hãy ghi nhớ những nội dung có thể do AI giả mạo hoặc do AI tạo ra, chẳng hạn như giọng nam, giọng nữ thông thường, lỗi phát âm và các video thay đổi khuôn mặt thường gặp. Khi gặp những cảnh quan trọng, hãy tỉnh táo phán đoán và xác định những rủi ro này.

Q6: Từ góc độ chuyên môn, hãy chia sẻ một số khuyến nghị về bảo mật thiết bị vật lý

Nhóm bảo mật OneKey: Dựa trên những rủi ro khác nhau được đề cập ở trên, chúng tôi tóm tắt ngắn gọn các biện pháp bảo vệ.

1. Hãy cảnh giác với nguy cơ bị xâm nhập từ các thiết bị kết nối Internet

Trong cuộc sống hàng ngày của chúng ta cuộc sống, các thiết bị kết nối Internet đã trở nên phổ biến nhưng nó cũng tiềm ẩn những nguy cơ bị xâm nhập. Để bảo vệ dữ liệu có rủi ro cao của chúng tôi (chẳng hạn như khóa riêng, mật khẩu, mã dự phòng MFA), chúng tôi nên sử dụng các phương pháp mã hóa mạnh và cố gắng chọn phương thức lưu trữ tách biệt khỏi mạng để tránh lưu trữ thông tin nhạy cảm này trực tiếp trên thiết bị ở dạng văn bản thuần túy. Ngoài ra, chúng ta cần luôn cảnh giác trước các cuộc tấn công lừa đảo và Trojan. Xem xét việc tách thiết bị chuyên dụng cho hoạt động tài sản tiền điện tử khỏi các thiết bị có mục đích chung khác để giảm nguy cơ bị tấn công. Ví dụ: chúng tôi có thể tách riêng máy tính xách tay mà chúng tôi sử dụng hàng ngày và ví phần cứng mà chúng tôi sử dụng để quản lý tài sản tiền điện tử, để ngay cả khi một thiết bị bị xâm phạm thì thiết bị kia vẫn được bảo mật.

2. Duy trì giám sát và bảo vệ vật lý

Để bảo vệ hơn nữa đối tượng có nguy cơ cao của chúng ta thiết bị (chẳng hạn như ví phần cứng), chúng ta cần thực hiện các biện pháp bảo vệ và giám sát vật lý nghiêm ngặt. Những thiết bị này trong nhà nên được cất giữ trong két chống trộm tiêu chuẩn cao và được trang bị hệ thống an ninh thông minh toàn diện, bao gồm chức năng giám sát video và báo động tự động. Nếu chúng ta có nhu cầu đi du lịch, điều đặc biệt quan trọng là chọn một khách sạn có kho chứa đồ an toàn. Nhiều khách sạn cao cấp cung cấp dịch vụ lưu trữ an toàn chuyên dụng, có thể cung cấp thêm một lớp bảo vệ cho thiết bị của chúng tôi. Ngoài ra, chúng ta cũng có thể cân nhắc việc mang theo một chiếc két sắt di động bên mình để đảm bảo những thiết bị quan trọng của mình được bảo vệ trong mọi tình huống.

3. Giảm rủi ro và ngăn chặn các điểm lỗi duy nhất

Phân phối thiết bị và tài sản Lưu trữ là một trong những chiến lược quan trọng để giảm thiểu rủi ro. Thay vì lưu trữ tất cả các thiết bị có đặc quyền cao và tài sản tiền điện tử ở một nơi hoặc trong một ví, chúng ta nên xem xét việc phân cấp lưu trữ ở những nơi an toàn trên các vị trí địa lý khác nhau. Ví dụ: chúng ta có thể cất giữ một số thiết bị và tài sản ở nhà, ở văn phòng cũng như với bạn bè và gia đình đáng tin cậy. Ngoài ra, sử dụng nhiều ví nóng và ví lạnh phần cứng cũng là một phương pháp hiệu quả. Mỗi ví có thể lưu trữ một phần tài sản và giảm nguy cơ lỗi một điểm. Để tăng cường bảo mật, chúng tôi cũng có thể sử dụng ví đa chữ ký, yêu cầu nhiều chữ ký được ủy quyền để thực hiện giao dịch, do đó làm tăng đáng kể mức độ bảo mật cho tài sản của chúng tôi.

4. Các biện pháp khẩn cấp trong trường hợp xấu nhất

Trước các mối đe dọa an ninh tiềm ẩn Điều quan trọng là phải phát triển các biện pháp dự phòng trong trường hợp xấu nhất. Đối với những cá nhân có giá trị ròng cao, giữ kín danh tính là một chiến lược hiệu quả để tránh trở thành mục tiêu. Chúng ta nên tránh khoe tài sản tiền điện tử của mình ở nơi công cộng và cố gắng giữ thông tin tài sản của mình càng kín đáo càng tốt. Ngoài ra, việc có phương án dự phòng trong trường hợp thiết bị bị mất hoặc bị đánh cắp là cần thiết. Chúng ta có thể thiết lập ví mã hóa mồi nhử để tạm thời đối phó với những kẻ có ý định cướp, đồng thời đảm bảo rằng dữ liệu trên các thiết bị quan trọng có thể bị khóa hoặc xóa từ xa (nếu được sao lưu). Thuê đội an ninh tư nhân có thể cung cấp thêm một lớp bảo mật khi đi công cộng ở những khu vực có nguy cơ cao, cũng như sử dụng các làn đường an ninh VIP đặc biệt và các khách sạn bảo mật cao để đảm bảo an toàn và quyền riêng tư của chúng ta.

Nhóm bảo mật ví OKX Web3: Chúng tôi sẽ giới thiệu nó ở hai cấp độ, một là cấp độ APP OKX Web3 và cấp độ còn lại là cấp độ người dùng.

1. Cấp độ ứng dụng OKX Web3

Ví OKX Web3 sử dụng nhiều phương pháp khác nhau để cải thiện Tăng cường ứng dụng, bao gồm nhưng không giới hạn ở việc che giấu thuật toán, che giấu logic, phát hiện tính toàn vẹn mã, phát hiện tính toàn vẹn của thư viện hệ thống, chống giả mạo ứng dụng, phát hiện bảo mật môi trường cũng như các phương pháp phát hiện và củng cố khác, để giảm thiểu rủi ro cho người dùng khi sử dụng Ứng dụng. Khả năng bị hacker tấn công cũng có thể tránh được ở mức độ lớn nhất bằng cách các sản phẩm đen đóng gói lại Ứng dụng của chúng tôi, giảm khả năng tải xuống Ứng dụng giả mạo.

Ngoài ra, ở cấp độ bảo mật dữ liệu ví Web3, chúng tôi sử dụng công nghệ bảo mật phần cứng tiên tiến nhất và sử dụng mã hóa cấp chip để mã hóa dữ liệu nhạy cảm trong ví. chip thiết bị bị ràng buộc, dữ liệu được mã hóa không thể được giải mã bởi bất kỳ ai nếu bị đánh cắp.

2. Cấp độ người dùng

Đối với người dùng, các thiết bị vật lý bao gồm ví phần cứng, máy tính thông dụng , Cũng như điện thoại di động và các thiết bị khác, chúng tôi khuyên người dùng trước tiên nên nâng cao nhận thức về bảo mật của mình từ các khía cạnh sau

1) Ví phần cứng: Sử dụng ví phần cứng nổi tiếng thương hiệu ví phần cứng và mua nó từ các kênh chính thức Mua, tạo và lưu trữ khóa riêng trong môi trường biệt lập. Phương tiện lưu trữ khóa riêng phải có khả năng chống cháy, chống thấm nước và chống trộm. Nên sử dụng két sắt chống cháy và chống nước, có thể lưu trữ chìa khóa riêng hoặc từ ghi nhớ ở các vị trí an toàn khác nhau để nâng cao tính bảo mật.

2) Thiết bị điện tử: Đối với điện thoại di động và máy tính có cài đặt ví phần mềm, nên chọn những thương hiệu có bảo mật và quyền riêng tư tốt hơn (chẳng hạn như Apple), và đồng thời hạn chế cài đặt các phần mềm ứng dụng không phù hợp khác và làm sạch môi trường hệ thống. Sử dụng Apple ID để quản lý nhiều bản sao lưu thiết bị của hệ thống nhằm tránh lỗi một máy.

3) Sử dụng hàng ngày: Tránh thực hiện các thao tác nhạy cảm trên thiết bị ví ở những nơi công cộng để tránh rò rỉ hồ sơ camera, thường xuyên sử dụng phần mềm diệt virus đáng tin cậy để quét và tiêu diệt; môi trường thiết bị; Thường xuyên kiểm tra độ tin cậy của các vị trí lưu trữ thiết bị vật lý.

Cuối cùng, cảm ơn tất cả các bạn đã đọc số thứ 04 của chuyên mục "Vấn đề bảo mật đặc biệt" của OKX Web3 Wallet. Chúng tôi hiện đang chuẩn bị kỹ lưỡng cho số thứ 05. chỉ chứa các Trường hợp thực tế, nhận dạng rủi ro và mẹo vận hành an toàn, vì vậy hãy chú ý theo dõi!

Tuyên bố miễn trừ trách nhiệm:

Bài viết này chỉ mang tính tham khảo. Bài viết này không nhằm mục đích cung cấp (i) lời khuyên đầu tư hoặc khuyến nghị đầu tư; ( ii) mua hoặc bán hoặc đề nghị hoặc chào mời nắm giữ tài sản kỹ thuật số; hoặc (iii) tư vấn về tài chính, kế toán, pháp lý hoặc thuế. Việc nắm giữ các tài sản kỹ thuật số, bao gồm stablecoin và NFT, có mức độ rủi ro cao và có thể biến động đáng kể hoặc thậm chí trở nên vô giá trị. Bạn nên cân nhắc cẩn thận xem việc giao dịch hoặc nắm giữ tài sản kỹ thuật số có phù hợp với mình hay không dựa trên tình hình tài chính của bạn. Vui lòng có trách nhiệm hiểu và tuân thủ luật pháp và quy định hiện hành của địa phương.

Bài viết này là từ một bài gửi và không thể hiện quan điểm của BlockBeats.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia