在移動(dòng)互聯(lián)網(wǎng)時(shí)代，我們?cè)谑褂门c區(qū)塊鏈、數(shù)字資產(chǎn)相關(guān)的服務(wù)時(shí)，常常使用移動(dòng)客戶端。比如通過(guò)一個(gè)交易所App，或者錢包App進(jìn)行數(shù)字資產(chǎn)的交易、轉(zhuǎn)賬，當(dāng)然，期間必然要經(jīng)過(guò)網(wǎng)絡(luò)，而正是這個(gè)過(guò)程中存在這不可忽視的安全問(wèn)題。

連接WIFI竟然會(huì)“丟幣”？

那么，當(dāng)你要做聯(lián)網(wǎng)操作的時(shí)候，你的第一個(gè)動(dòng)作是什么？或許不少人的選擇是找一個(gè)WIFI連上，除了家里和公司，就是在機(jī)場(chǎng)、咖啡館、餐館等公共場(chǎng)合，相關(guān)WIFI接入已經(jīng)非常方便，你需要做的只是通過(guò)手機(jī)做個(gè)驗(yàn)證碼的確認(rèn)。

而對(duì)于一家公司來(lái)說(shuō)，WIFI更是標(biāo)配，但是，如果你是一家提供數(shù)字資產(chǎn)服務(wù)的公司，你可曾留意公司W(wǎng)IFI布置上的門道？如果一個(gè)客戶前來(lái)拜訪等待的時(shí)候，向前臺(tái)詢問(wèn)連接WIFI，是不是也會(huì)配合幫助客戶連上？

事實(shí)上，在上述場(chǎng)景中，都可能將用戶、公司的數(shù)字資產(chǎn)安全置于一種危險(xiǎn)的境地，特別基于當(dāng)前很多區(qū)塊鏈行業(yè)App本身的安全缺陷更放大了這種危險(xiǎn)。北京鏈安的安全工程師們?cè)谌粘pp安全滲透測(cè)試和安全審計(jì)過(guò)程中發(fā)現(xiàn)經(jīng)常會(huì)有交易所和錢包App在網(wǎng)絡(luò)傳輸與服務(wù)器交互時(shí)存在安全隱患，包括使用不安全的 HTTP 協(xié)議傳輸數(shù)據(jù)和使用 HTTPS 協(xié)議時(shí)客戶端未校驗(yàn)證書的正確性導(dǎo)致黑客可通過(guò)中間人攻擊監(jiān)聽客戶端 App 的傳輸數(shù)據(jù)并對(duì)其進(jìn)行解密，從而造成敏感信息泄露的隱患，如果這些信息包括密碼、密鑰，后果將非常嚴(yán)重。

這是怎么回事呢？為何連接一下WIFI還可能“丟幣”，接下來(lái)，就為大家介紹這里面的門道。

什么是“中間人攻擊”？

造成這種威脅的攻擊手段即中間人攻擊，中間人攻擊（Man-in-the-middle Attack 縮寫：MITM）在密碼學(xué)和計(jì)算機(jī)安全領(lǐng)域中是指攻擊者與通訊的兩端分別創(chuàng)建獨(dú)立的聯(lián)系，并交換其所收到的數(shù)據(jù)，使通訊的兩端認(rèn)為他們正在通過(guò)一個(gè)私密的連接與對(duì)方直接對(duì)話，但事實(shí)上整個(gè)會(huì)話都被攻擊者完全控制。

在中間人攻擊中，攻擊者可以攔截通訊雙方的通話并插入新的內(nèi)容，也就是說(shuō)你以為正通過(guò)正常的網(wǎng)絡(luò)與諸如交易所App的服務(wù)器進(jìn)行通訊，結(jié)果其實(shí)中間已經(jīng)有人放了個(gè)“漁網(wǎng)”，中途會(huì)攔截你傳輸?shù)膱?bào)文，他可能只是看看里面的內(nèi)容讓其正常通訊，甚至可能直接干涉這個(gè)過(guò)程。

為了成為中間人，攻擊者不但要能同時(shí)和服務(wù)器與客戶端通信，還要介入到服務(wù)器和客戶端的通信鏈路之中，將服務(wù)器的數(shù)據(jù)轉(zhuǎn)發(fā)給客戶端，將客戶端的數(shù)據(jù)轉(zhuǎn)發(fā)給服務(wù)器。實(shí)現(xiàn)這樣目的的手段有很多種，比較常見的有 DNS 劫持和局域網(wǎng) ARP 欺騙。

上面我們提及的WIFI連接場(chǎng)景就可能被黑客通過(guò)局域網(wǎng) ARP 欺騙造成中間人攻擊。

所謂APR欺騙即攻擊者首先連上WIFI，將自己置于與受害者設(shè)備同樣的局域網(wǎng)絡(luò)中，然后通過(guò)一些黑客工具使得其它設(shè)備將攻擊者當(dāng)做網(wǎng)關(guān)從而前來(lái)連接，這樣受害者設(shè)備的任何網(wǎng)絡(luò)通訊流量都將經(jīng)過(guò)攻擊者，被其截獲。

以上圖片就是我們的測(cè)試，一款交易所App遭到中間人攻擊，其報(bào)文信息被攻擊者截獲，其中甚至包括用戶的密碼信息。

“中間人攻擊”的危害有哪些？

在以上過(guò)程中，如果這些App本身做了一定的安全防護(hù)，比如數(shù)據(jù)的高強(qiáng)度加密，那么還能提高攻擊者進(jìn)一步作惡的成本。但是，正如我們此前介紹的，區(qū)塊鏈領(lǐng)域的App在這方面的安全工作做的還很不夠，弱加密，甚至就不加密明文傳輸?shù)那闆r時(shí)有發(fā)生，而在涉及敏感信息的操作上，依然有一些區(qū)塊鏈App沒(méi)有采用安全度更高的HTTPS協(xié)議。

那么，作為一家涉及數(shù)字貨幣服務(wù)的公司，中間人攻擊又可能造成怎樣的危害呢？如上所述，如果你的局域網(wǎng)沒(méi)有進(jìn)行相應(yīng)的安全配置，沒(méi)有將辦公網(wǎng)絡(luò)與訪客網(wǎng)絡(luò)進(jìn)行隔離，那么黑客就可能通過(guò)你的WIFI入侵，進(jìn)行中間人攻擊，獲取你內(nèi)網(wǎng)環(huán)境下涉及業(yè)務(wù)的一系列敏感信息，進(jìn)而不斷提升攻擊者在內(nèi)網(wǎng)的權(quán)限，甚至可能直接接觸你存儲(chǔ)的數(shù)字資產(chǎn)并將其竊取。

是的，以上過(guò)程其實(shí)就是所謂的APT攻擊，APT攻擊的一大特點(diǎn)就是目標(biāo)針對(duì)性很強(qiáng)，攻擊者往往會(huì)做一些前期準(zhǔn)備工作，擬定了攻擊目標(biāo)，并通過(guò)技術(shù)，甚至社會(huì)工程學(xué)手段侵入內(nèi)部系統(tǒng)。而侵入內(nèi)部系統(tǒng)的手段也不一定需要“內(nèi)鬼”里應(yīng)外合，向客服發(fā)一封誤導(dǎo)其點(diǎn)開附件運(yùn)行木馬代碼的郵件就是常用套路，而通過(guò)辦公環(huán)境網(wǎng)絡(luò)漏洞進(jìn)入被攻擊目標(biāo)內(nèi)網(wǎng)也是一個(gè)重要的切入點(diǎn)。

總結(jié)一下，中間人攻擊就是一種攻擊者欺騙網(wǎng)絡(luò)使用者將其當(dāng)作網(wǎng)絡(luò)連接通道，進(jìn)而截獲受害者通訊信息的操作，而一旦獲得了這些信息，攻擊者可以進(jìn)一步解析和破解，進(jìn)而可能獲得用戶的密碼、密鑰，甚至干涉后續(xù)過(guò)程，試想一下如果攻擊者將一個(gè)客戶端向服務(wù)器發(fā)起的比特幣轉(zhuǎn)賬申請(qǐng)截獲，進(jìn)而修改接收地址，將會(huì)給受害者帶來(lái)多么直接的經(jīng)濟(jì)損失？

“中間人攻擊”怎么防？

那么，對(duì)于中間人攻擊，該如何防范呢？在這里，對(duì)三類角色提出了防范建議。

1. 區(qū)塊鏈App的用戶：執(zhí)行一些敏感操作的時(shí)候，請(qǐng)謹(jǐn)慎連接公共WIFI網(wǎng)絡(luò)。

2. 區(qū)塊鏈App的開發(fā)者：請(qǐng)?jiān)诳蛻舳藨?yīng)使用HTTPS協(xié)議傳輸網(wǎng)絡(luò)數(shù)據(jù)，并在客戶端中校驗(yàn)SSL證書的正確性，防止信任偽造證書。

3. 區(qū)塊鏈業(yè)務(wù)涉及的公司機(jī)構(gòu)：做好內(nèi)網(wǎng)安全防御，為訪客設(shè)立 Guest 賬號(hào)和權(quán)限，或進(jìn)行訪客網(wǎng)絡(luò)隔離來(lái)避免APT攻擊。對(duì)于辦公環(huán)境的WIFI設(shè)置強(qiáng)類型密碼，同時(shí)禁用 WIFI WPS 功能。

以上例子中，我們主要提及的是數(shù)字資產(chǎn)這樣的經(jīng)濟(jì)價(jià)值更容易直接衡量的場(chǎng)景，事實(shí)上，隨著區(qū)塊鏈技術(shù)應(yīng)用到更多行業(yè)，更多敏感數(shù)據(jù)上鏈并在一些業(yè)務(wù)中與App通訊，而在諸如企業(yè)的私有鏈、聯(lián)盟鏈場(chǎng)景中，更是會(huì)大量涉及基于內(nèi)網(wǎng)環(huán)境的敏感信息傳輸，在這樣的情況下，中間人攻擊將是破壞區(qū)塊鏈價(jià)值的重大隱患，需要我們?cè)谶M(jìn)行相關(guān)系統(tǒng)的開發(fā)和部署中重點(diǎn)防范。

責(zé)任編輯 LK