A Tattered Cloak of Invisibility: Measuring Anonymity Loss in Railgun on Ethereum
यह शोध पत्र यह प्रदर्शित करता है कि एथेरियम पर रेलगन (Railgun) की मजबूत क्रिप्टोग्राफिक नींव के बावजूद, उपयोगकर्ता व्यवहार संबंधी पैटर्न जैसे कि समय (timing), एड्रेस का पुन: उपयोग (address reuse), और लेनदेन की राशि, गुमनामी (anonymity) से समझौता कर सकते हैं, जिससे ह्यूरिस्टिक्स (heuristics) 17.65% निकासी (withdrawals) को जमा (deposits) से विशिष्ट रूप से जोड़ने में सक्षम हो जाते हैं और इसके परिणामस्वरूप 3.42 बिट्स का औसत गुमनामी नुकसान होता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक विशाल, पारदर्शी बैंक में प्रवेश करते हैं जहाँ हर कोई आपका नाम, आपका बैलेंस और आपके द्वारा किया गया हर एक लेनदेन देख सकता है। अधिकांश पब्लिक ब्लॉकचेन (जैसे Ethereum) इसी तरह काम करते हैं। इसे ठीक करने के लिए, लोगों ने "मिक्सर" बनाए जैसे कि Railgun। Railgun को एक हाई-टेक, जादुई अदृश्यता के लबादे (cloak) के रूप में सोचें। आप अंदर जाते हैं, अपना पैसा सौंपते हैं, और लबादा आपके पैसे को हजारों अन्य लोगों के पैसे के साथ मिला देता है। जब आप बाहर निकलते हैं, तो आपको अपना पैसा वापस मिल जाता है, लेकिन सैद्धांतिक रूप से, किसी को पता नहीं होता कि आपने मूल रूप से पैसे का कौन सा ढेर डाला था।
आपके द्वारा प्रदान किया गया पेपर, जिसका शीर्षक "A Tattered Cloak of Invisibility" (अदृश्यता का एक फटा हुआ लबादा) है, एक सरल लेकिन डरावना सवाल पूछता है: क्या लबादा वास्तव में फटा हुआ है?
लेखक (हंगरी के शोधकर्ताओं की एक टीम) तर्क देते हैं कि हालांकि लबादे के पीछे का गणित एकदम सही है, लेकिन लोग जो इसे पहन रहे हैं वे अनाड़ी हैं। भले ही जादू दोषरहित हो, उपयोगकर्ता व्यवहार संबंधी पदचिह्न (footprints) छोड़ देते हैं जिससे ऑब्जर्वर्स उस लबादे को वापस सिल सकते हैं और पता लगा सकते हैं कि आप कौन हैं।
यहाँ बताया गया है कि उन्होंने लबादे में छेद कैसे खोजे, जिसे रोजमर्रा के उपमाओं (analogies) के माध्यम से समझाया गया है:
लबादे के फटने के पाँच तरीके
शोधकर्ताओं ने पाँच विशिष्ट तरीके पहचाने जिनसे उपयोगकर्ता अनजाने में अपनी पहचान उजागर कर देते हैं:
1. "वही दरवाज़ा" वाली गलती (Address Reuse)
- उपमा: कल्पना कीजिए कि आप "जॉन" लेबल वाले सामने के दरवाजे से एक जादुई कमरे में प्रवेश करते हैं। आप अपना अदृश्यता का लबादा प्राप्त करते हैं, अपने पैसे को मिलाते हैं, और फिर ठीक उसी सामने के दरवाजे से बाहर निकलने का निर्णय लेते हैं जिस पर "जॉन" लिखा है।
- वास्तविकता: डिजिटल दुनिया में, इसे Address Reuse कहा जाता है। यदि आप पैसा डालने और निकालने के लिए एक ही डिजिटल पते का उपयोग करते हैं, तो लबादा बेकार है। शोधकर्ताओं ने पाया कि लगभग 6% उपयोगकर्ताओं ने यह गलती की, जिससे उनका डिपॉजिट और विड्रॉल तुरंत आपस में जुड़ गए।
2. "दोस्ताना हाथ हिलाना" (Direct Transactions)
- उपमा: आप जादुई कमरे में प्रवेश करते हैं, अपना लबादा प्राप्त करते हैं, और फिर तुरंत बाहर निकलकर अपने दोस्त को हाथ हिलाते हैं (जो कमरे के ठीक बाहर खड़ा है)। भले ही आप अंदर अदृश्य हों, वह हाथ हिलाना आपको अपने दोस्त से जोड़ देता है।
- वास्तविकता: उपयोगकर्ता अक्सर अपने "डिपोजिट" एड्रेस से अपने "विड्रॉल" एड्रेस पर (या इसके विपरीत) गैस फीस देने या बैलेंस टॉप-अप करने के लिए पैसा भेजते हैं। यह एक सीधा डिजिटल हैंडशेक बनाता है। शोधकर्ताओं ने पाया कि यह लगभग 9% मामलों में हुआ।
3. "टैक्सी ड्राइवर" का रिसाव (Gas Payer Reuse)
- उपमा: जादुई कमरे से बाहर निकलने के लिए, आपको एक टैक्सी ड्राइवर (एक "रिलेयर") को भुगतान करने की आवश्यकता है क्योंकि आपके पास नकद नहीं है। आमतौर पर, एक अजनबी आपको गाड़ी पहुँचाता है। लेकिन कभी-कभी, आप खुद गाड़ी चलाते हैं। यदि आप खुद गाड़ी चलाते हैं, तो आपकी लाइसेंस प्लेट (आपका डिपॉजिट एड्रेस) कार पर दिखाई देती है, जिससे पता चलता है कि आप कौन हैं।
- वास्तविकता: विड्रॉल करते समय, आपको ट्रांजैक्शन फीस देनी पड़ती है। यदि आप इस फीस के लिए तीसरे पक्ष के "रिलेयर" का उपयोग नहीं करते हैं, तो आप इसे अपने स्वयं के डिपॉजिट एड्रेस से दे सकते हैं। शोधकर्ताओं ने पाया कि कई उपयोगकर्ताओं ने ऐसा किया, जिससे लगभग 2% विड्रॉल सीधे उनके डिपॉजिट से जुड़ गए।
4. "पहेली" (Knapsack Matching)
- उपमा: कल्पना कीजिए कि आप मशीन में तीन विशिष्ट नोट डालते हैं: $5, 20। बाद में, आप ठीक 5 + 20 = $35 है, जो एक बहुत बड़ा सुराग है।
- वास्तविकता: Railgun किसी भी राशि को डिपॉजिट करने की अनुमति देता है। यदि आप विशिष्ट मात्रा (जैसे 1.5 ETH और 2.3 ETH) जमा करते हैं और बाद में ठीक 3.8 ETH निकालते हैं, तो एक कंप्यूटर इस "गणित की पहेली" (जिसे नॉपसैक प्रॉब्लम कहा जाता है) को हल कर सकता है और अनुमान लगा सकता है कि आपका विड्रॉल उन्हीं विशिष्ट डिपॉजिट से आया है। यह हमेशा 100% मिलान नहीं देता है, लेकिन यह संदिग्धों की सूची को काफी हद तक कम कर देता है।
5. "फिंगरप्रिंट" (Amount Fingerprints)
- उपमा: आप एक बहुत ही विशिष्ट, अजीब राशि डालते हैं, जैसे 12.3456789 (एक छोटी सी फीस घटाकर) निकालते हैं। संख्याओं का यह विशिष्ट क्रम एक अद्वितीय फिंगरप्रिंट की तरह है।
- वास्तविकता: पुराने मिक्सर के विपरीत जो केवल गोल संख्याओं (जैसे ठीक $100) को स्वीकार करते थे, Railgun किसी भी संख्या को स्वीकार करता है। यदि आप एक "मनोवैज्ञानिक रूप से महत्वपूर्ण" (psychologically salient) संख्या (जैसे 1.234567) जमा करते हैं, तो आप उन विशिष्ट अंकों को विड्रॉल के समय भी बनाए रखने की प्रवृत्ति रखते हैं। शोधकर्ताओं ने पाया कि हालांकि यह अपने आप में एक पूर्ण लिंक नहीं था, लेकिन इसने अन्य सुरागों के साथ मिलकर काम किया।
बड़ा परिणाम
इन पाँचों सुरागों को मिलाकर, शोधकर्ता सभी विड्रॉल में से 17.65% को एक विशिष्ट डिपॉजिट से अनूअली लिंक करने में सक्षम रहे।
इसे इस तरह सोचिए: यदि 100 लोग अदृश्य कमरे में जाते हैं, तो गणित कहता है कि वे सभी समान रूप से गुमनाम होने चाहिए। लेकिन इन व्यवहार संबंधी गलतियों के कारण, शोधकर्ता आत्मविश्वास से कह सकते हैं, "हमें पक्का पता है कि व्यक्ति #17 वही है जो व्यक्ति #42 के रूप में बाहर निकला है।"
इसके अलावा, उन्होंने "गणित की पहेली" (knapsack problem) को हल करने के लिए एक कंप्यूटर प्रोग्राम का उपयोग किया। इसने हमेशा एक एकल उत्तर नहीं दिया, लेकिन इसने प्रत्येक लेनदेन के लिए "गुमनामी" (संभावित संदिग्धों की संख्या) को लगभग 3.4 बिट्स कम कर दिया। सरल शब्दों में, इसका अर्थ है कि संदिग्धों का पूल काफी छोटा हो गया, जिससे यह अनुमान लगाना बहुत आसान हो गया कि कौन कौन है।
"फास्ट-फॉरवर्ड" की समस्या (समय)
पेपर एक टाइमिंग इश्यू की ओर भी इशारा करता है। कई उपयोगकर्ता मिक्सर को एक त्वरित टनल (tunnel) की तरह मानते हैं: वे पैसा डालते हैं और लगभग तुरंत (अक्सर एक दिन के भीतर) उसे निकाल लेते हैं।
- उपमा: यदि आप एक भीड़ भरे कमरे में प्रवेश करते हैं और 10 सेकंड बाद बाहर निकलते हैं, तो केवल कुछ ही लोग हो सकते हैं जो आप रहे होंगे। यदि आप एक महीने तक रुकते हैं, तो आप कोई भी हो सकते हैं।
- वास्तविकता: शोधकर्ताओं ने पाया कि "मीडियन" (मध्यम) उपयोगकर्ता ने एक दिन से भी कम समय प्रतीक्षा की। यह छोटा सा अंतराल यह अनुमान लगाना अविश्वसनीय रूप से आसान बना देता है कि किसने क्या जमा किया, चाहे पूल में कितने भी लोग क्यों न हों।
आपको क्या करना चाहिए? (सलाह)
पेपर निष्कर्ष निकालता है कि गुमनाम रहने के लिए किसी भी व्यक्ति के लिए "क्या न करें" की एक सूची है:
- कभी भी एक ही दरवाजा इस्तेमाल न करें: पैसा निकालने के लिए हमेशा एक नया एड्रेस इस्तेमाल करें।
- दोस्तों को हाथ न हिलाएं: अपने डिपॉजिट और विड्रॉल एड्रेस के बीच पैसा न भेजें।
- टैक्सी लें: हमेशा अपनी फीस भरने के लिए तीसरे पक्ष के "रिलेयर" का उपयोग करें ताकि आपका अपना एड्रेस बाहर निकलते समय दिखाई न दे।
- अनुमानित न बनें: बिल्कुल समान राशि जमा और निकालें नहीं। इसमें विविधता लाएं, या पूल के भीतर कुछ आंतरिक लेनदेन (जैसे टोकन स्वैप करना) करें ताकि नंबरों को बिखेरा जा सके।
- इंतज़ार करें: जल्दबाजी न करें। पूल में हफ्तों या महीनों तक रहें ताकि आपका विड्रॉल एक बड़े समूह में खो जाए।
निचोड़
पेपर का मुख्य संदेश यह है कि गोपनीयता केवल गणित के बारे में नहीं है; यह व्यवहार के बारे में है। भले ही "लबादा" सबसे मजबूत जादुई कपड़े से बना हो, लेकिन यदि आप इसे अपने दोस्तों को हाथ हिलाते हुए, सीधी रेखा में दौड़ते हुए, या कीचड़ में अपने पदचिह्न छोड़ते हुए पहनते हैं, तो लबादा आपको बचा नहीं पाएगा। शोधकर्ताओं ने जादू को नहीं तोड़ा; उन्होंने बस यह दिखाया कि कैसे उपयोगकर्ता अनजाने में खुद ही इस कपड़े को फाड़ रहे हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।