Insecurity Through Obscurity: Veiled Vulnerabilities in Closed-Source Contracts
यह शोध पत्र SKANF को प्रस्तुत करता है, जो एक नवीन EVM बाइटकोड विश्लेषण उपकरण है जो यह प्रदर्शित करता है कि कैसे क्लोज्ड-सोर्स स्मार्ट कॉन्ट्रैक्ट्स में कोड ऑबफस्केशन (code obfuscation) अक्सर कमजोरियों को रोकने के बजाय उन्हें छिपाता है, जो 1,000 से अधिक वास्तविक दुनिया के MEV बॉट्स में खामियों का सफलतापूर्वक पता लगाने और $10.6 मिलियन के संभावित मूल्य वाले एक्सप्लॉइट्स उत्पन्न करने में सफल रहा है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि ब्लॉकचेन (जैसे इथेरियम) एक विशाल, सार्वजनिक कांच के घर की तरह है। इस घर के अंदर, हर कोई उन सभी मशीनों (स्मार्ट कॉन्ट्रैक्ट) के ब्लूप्रिंट देख सकता है जो वहां चलती हैं। आमतौर पर, यह एक अच्छी बात है क्योंकि इसका मतलब है कि कोई भी जाल नहीं छिपा सकता। लेकिन, कुछ मशीन निर्माता अपने ब्लूप्रिंट को धुंध की परतों में लपेट देते हैं, रेखाचित्रों पर पेंट कर देते हैं, या गुप्त रास्ते बना देते हैं जिनके बारे में केवल उन्हें ही पता होता है। वे ऐसा अपने व्यावसायिक रहस्यों को सुरक्षित रखने या अपने विचारों की चोरी रोकने के लिए करते हैं।
पेपर "Insecurity Through Obscurity" तर्क देता है कि जबकि ये निर्माता सोचते हैं कि वे अपनी मशीनों को छिपाकर सुरक्षित बना रहे हैं, वे वास्तव में उन्हें अधिक खतरनाक बना रहे हैं। ब्लूप्रिंट को छिपाकर, वे अनजाने में टूटे हुए तालों और खुली खिड़कियों को भी छिपा देते हैं।
यहाँ शोधकर्ताओं द्वारा किए गए कार्यों और उनकी खोजों का एक सरल विवरण दिया गया है:
1. समस्या: "चाबियों को छिपाना"
शोधकर्ताओं ने देखा कि इस कांच के घर में चलने वाली कई सबसे सक्रिय मशीनें "क्लोज्ड-सोर्स" (कोई ब्लूप्रिंट उपलब्ध नहीं) और "ऑब्फस्केटेड" (कोड को उलझा हुआ या अस्पष्ट बनाया गया) हैं।
- उपमा: एक बैंक वॉल्ट की कल्पना करें जहाँ सुरक्षा गार्ड की आँखों पर पट्टी बंधी है और अलार्म सिस्टम एक गुप्त कोड में लिखा गया है। बैंक का मालिक सोचता है, "यदि कोई कोड नहीं पढ़ सकता, तो कोई इसे हैक नहीं कर सकता!"
- वास्तविकता: क्योंकि कोड इतना उलझा हुआ है, इसलिए बैंक के अपने सुरक्षा विशेषज्ञ भी यह नहीं देख पाते कि वॉल्ट का दरवाजा वास्तव में खुला हुआ है। "अस्पष्टता" (छिपाना) ही "असुरक्षा" बन जाती है।
2. टूल: "धुंध साफ करने वाला रोबोट" (skanf)
लेखकों ने skanf नामक एक नया टूल बनाया (इसका नाम चार शोधकर्ताओं: सेन, काइहुआ, एविव और फैन के नाम पर रखा गया है)। skanf को एक हाई-टेक रोबोट के रूप में समझें जो एक विशेष टॉर्च और डिकोडर रिंग से लैस है।
- चरण 1: धुंध साफ करना (Deobfuscation): रोबोट उलझे हुए कोड को स्कैन करता है। वह जानता है कि इस विशिष्ट प्रकार की मशीन (EVM) में, हर गुप्त दरवाजे पर एक विशिष्ट "प्रवेश निषेध" का संकेत (जिसे
JUMPDESTकहा जाता है) होना चाहिए। रोबोट इन सभी संकेतों को ढूंढता है और मानचित्र को फिर से बनाता है, जिससे गुप्त, घुमावदार रास्तों को एक स्पष्ट, सीधी रेखा में बदल दिया जाता है। अचानक, छिपे हुए दरवाजे दिखाई देने लगते हैं। - चरण 2: इतिहास का उपयोग मार्गदर्शक के रूप में करना (Seeded Execution): रोबोट केवल यह अनुमान नहीं लगाता कि मशीन कैसे काम करती है। वह मशीन के पिछले व्यवहार (ऐतिहासिक लेनदेन) को देखता है कि वह आमतौर पर कहाँ जाती है। वह इन पिछली यात्राओं को "सीड्स" (बीज) के रूप में उपयोग करता है ताकि अपनी खोज को निर्देशित किया जा सके, जिससे वह अंधेरे में अनुमान लगाने वाले रोबोट की तुलना में बहुत तेज़ी से खतरनाक रास्तों को खोज पाता है।
- चरण 3: टेस्ट ड्राइव (Exploit Generation): एक बार जब रोबोट को टूटा हुआ ताला (एक भेद्यता/vulnerability) मिल जाता है, तो वह केवल उसकी रिपोर्ट नहीं करता। वह वास्तव में एक "चाबी" (एक्सप्लॉइट) बनाता है ताकि दरवाजे को खोलने की कोशिश की जा सके। यदि चाबी काम करती है, तो यह साबित होता है कि मशीन वास्तव में असुरक्षित है।
3. टेस्ट बेड: MEV बॉट्स
अपने रोबोट का परीक्षण करने के लिए, शोधकर्ताओं ने MEV बॉट्स को देखा।
- उपमा: तेज़ गति वाली रेस कारों (बॉट्स) के एक बेड़े की कल्पना करें जो एक ट्रैक (ब्लॉकचेन) पर दौड़ रहे हैं और जल्दी मुनाफा कमाने के लिए ट्रैफिक के बीच छोटे से गैप को खोजने की कोशिश कर रहे हैं। ये कारें बहुत तेज़ हैं, भारी मात्रा में धन संभालती हैं, और उनके ड्राइवर (सर्चर्स) अपने इंजन के काम करने के तरीके को लेकर बहुत गुप्त रहते हैं।
- उन्होंने इसे क्यों चुना: ये बॉट्स अक्सर क्लोज्ड-सोर्स और उलझे हुए होते हैं, जो उन्हें धुंध के पार देखने के लिए डिज़ाइन किए गए टूल के लिए एकदम सही विषय बनाते हैं।
4. निष्कर्ष: बहुत सारे खुले दरवाजे
परिणाम चौंकाने वाले थे:
- स्कैन: रोबोट ने इन रेस कारों में से 6,554 का स्कैन किया।
- खोज: इसने पाया कि इनमें से 1,030 में टूटे हुए ताले (भेद्यताएं) थे जो चोरों को उनका ईंधन (क्रिप्टो संपत्ति) चुराने की अनुमति दे सकते थे।
- प्रमाण: रोबोट ने सफलतापूर्वक इन 394 कारों के लिए काम करने वाली चाबियाँ बनाईं।
- लागत: यदि किसी चोर ने इन चाबियों का उपयोग किया होता, तो वे $10.6 मिलियन से अधिक चुरा सकते थे।
5. वास्तविक दुनिया का प्रमाण: "फिशिंग" का जाल
शोधकर्ताओं ने इतिहास को भी देखा कि क्या पहले किसी ने इन कारों से चोरी की है।
- हमला: उन्होंने 104 वास्तविक जीवन की चोरियां पाईं। चोरों ने एक चतुर तकनीक का इस्तेमाल किया जिसे "MEV Phishing" कहा जाता है।
- यह कैसे काम करता है: कल्पना करें कि एक चोर ट्रैक पर एक नकली, चमकदार सोने का बार (एक नकली अवसर) छोड़ देता है। रेस कार का ड्राइवर उसे देखता है, सोचता है कि यह एक बड़ा मुनाफा है, और उसे उठाने के लिए ऊपर जाता है। लेकिन सोने का बार वास्तव में एक ट्रैपडोर (गिरने वाला दरवाजा) है। जब कार इसके ऊपर से गुजरती है, तो ट्रैपडोर खुल जाता है, और चोर कार का ईंधन चुरा लेता है।
- नुकसान: इन वास्तविक दुनिया की चोरियों ने ड्राइवरों को लगभग $2.76 मिलियन का नुकसान पहुँचाया था।
- छूटा हुआ अवसर: शोधकर्ताओं ने पाया कि उनका रोबोट (skanf) चोरी होने से पहले ही अधिकांश चोरी हुई कारों में टूटे हुए तालों को पहचान सकता था।
6. निष्कर्ष
पेपर यह निष्कर्ष निकालता है कि अपने कोड को छिपाना आपको सुरक्षित नहीं बनाता; यह केवल आपको अपनी गलतियों को देखने में कठिन बनाता है।
- निर्माताओं के लिए: यदि आप ऐसी मशीन बना रहे हैं जो पैसा रखती है, तो आपको अपने ब्लूप्रिंट को स्पष्ट रूप से देखने में सक्षम होना चाहिए। उन्हें छिपाना आपके रहस्यों की रक्षा कर सकता है, लेकिन यह आपके पैसे को असुरक्षित छोड़ देता है।
- मुख्य बात: शोधकर्ताओं ने दिखाया कि सही उपकरणों (जैसे skanf) के साथ, हम धुंध को साफ कर सकते हैं, टूटे हुए तालों को ढूंढ सकते हैं, और चोरों के आने से पहले उन्हें ठीक कर सकते हैं।
संक्षेप में: अपनी सुरक्षा खामियों को अंधेरे में न छिपाएं; उन पर रोशनी डालें ताकि आप उन्हें ठीक कर सकें।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।