Zaštita od Sybil napada u dVPN i P2P mrežama

Razumevanje Sibil pretnje u decentralizovanim ekosistemima

Da li ste se ikada zapitali kako jedna osoba može izgledati kao hiljadu različitih ljudi na mreži? To nije samo scenario za naučnofantastični film; u svetu decentralizovanih mreža, to je ogroman bezbednosni problem poznat kao Sibil napad (Sybil attack).

Nazvan po poznatom slučaju disocijativnog poremećaja identiteta, ova pretnja se zasniva na tome da jedan zlonamerni akter kreira mnoštvo lažnih čvorova (nodes) kako bi nadglasao one poštene. Zamislite da pokušavate da sprovedete pošteno glasanje u malom gradu, ali se pojavi jedan čovek koji nosi 50 različitih šešira i lažnih brkova, tvrdeći da je on zapravo 50 različitih građana. Upravo to se dešava P2P mreži tokom Sibil incidenta.

U standardnom decentralizovanom sistemu, obično se oslanjamo na princip „jedan čvor – jedan glas“ ili jedna jedinica uticaja. Međutim, pošto ne postoji centralni MUP ili pasoška kontrola koja bi proverila identitet, napadač može koristiti jedan računar za kreiranje hiljada digitalnih pseudonima. Prema podacima kompanije Imperva, ovo im omogućava da nadglasaju poštene korisnike, pa čak i da odbiju prenos blokova podataka.

• Lažni identiteti: Napadač kreira „Sibil čvorove“ koji ostatku mreže deluju legitimno.
• Uticaj na mrežu: Kontrolisanjem većine čvorova, oni mogu pokrenuti napad od 51% – situaciju u kojoj napadač poseduje više od polovine mrežne snage, što mu omogućava da poništava transakcije ili blokira rad drugih korisnika.
• Iscrpljivanje resursa: Ovi lažni čvorovi mogu zagušiti propusni opseg (bandwidth), čineći decentralizovani internet sporim i nestabilnim za sve ostale.

Džon R. Duser (John R. Douceur), koji je prvi detaljno istražio ovaj fenomen u okviru Microsoft Research-a, podelio je ove napade na dve vrste. Direktni napad je onaj u kojem lažni čvorovi komuniciraju direktno sa poštenim čvorovima. On je agresivan i brz. Indirektni napad je lukaviji; napadač koristi „proksi“ čvorove kao posrednike kako bi prikrio svoj stvarni uticaj.

Ovo je izuzetno opasno za servise kao što su decentralizovani VPN-ovi ili P2P deljenje fajlova. Ako haker kontroliše i ulaznu i izlaznu tačku vaše veze koristeći višestruke lažne identitete, vaša privatnost je praktično uništena.

Iskreno govoreći, ako ne rešimo način na koji potvrđujemo ko je „stvaran“ bez narušavanja anonimnosti, ove mreže nikada neće biti potpuno bezbedne. U nastavku ćemo pogledati kako se zapravo možemo boriti protiv ovih lažnih identiteta.

Zašto su dVPN i DePIN mreže ranjive

Zapravo, prilično je neverovatno kada malo bolje razmislite. Gradimo ove masivne, globalne mreže kao što su dVPN i DePIN kako bismo oduzeli moć velikim korporacijama, ali ta ista politika "otvorenih vrata" je upravo ono što hakeri obožavaju. Ako svako može da se pridruži, onda to može i bilo ko — uključujući i botmrežu sa deset hiljada lažnih identiteta.

Nadovezujući se na problem identiteta koji smo ranije pomenuli, dVPN sistemi se suočavaju sa specifičnim finansijskim podsticajima koji ih čine primarnom metom. Zašto bi se neko uopšte trudio oko toga? Odgovor je jednostavan: nagrade. Većina DePIN mreža koristi rudarenje protoka (bandwidth mining) kako bi stimulisala ljude da dele svoj višak internet saobraćaja.

• Iscrpljivanje zajedničkih resursa: Na tržištu propusnog opsega, Sibil (Sybil) čvorovi mogu "lažirati" aktivnost kako bi neosnovano prisvojili token nagrade namenjene stvarnim korisnicima.
• Lažni podaci: Napadači mogu preplaviti mrežu lažnim izveštajima o saobraćaju, čineći da P2P ekonomija izgleda mnogo zdravije (ili prometnije) nego što zapravo jeste, samo da bi veštački uvećali sopstvenu zaradu.
• Manipulacija tržištem: Kontrolisanjem ogromnog dela "ponude", jedan zlonamerni akter može poremetiti formiranje cena na celom tržištu.

Stvari postaju još ozbiljnije kada govorimo o stvarnoj privatnosti. Ako koristite VPN za očuvanje privatnosti, verujete da se vaši podaci preusmeravaju kroz nezavisne čvorove. Ali šta ako su svi ti "nezavisni" čvorovi zapravo u vlasništvu iste osobe?

Prema podacima koje navodi Hacken, ako napadač stekne dovoljnu dominaciju, može početi da cenzuriše specifičan saobraćaj ili, što je još gore, da demaskira korisnike. Ako haker kontroliše i tačku gde vaši podaci ulaze u mrežu i tačku gde izlaze, vaša "anonimna" sesija mu je praktično kao otvorena knjiga.

Ovo nije samo teorija. Još 2014. godine, Tor mreža — koja je praktično preteča svih P2P alata za privatnost — bila je pogođena masovnim Sibil napadom gde je neko pokrenuo preko 110 releja samo da bi pokušao da "otkrije" korisnike. U svakom slučaju, to je neprestana igra mačke i miša.

Strategije ublažavanja rizika za distribuirane mreže

Dakle, kako zapravo sprečiti ove „digitalne utvare“ da preuzmu kontrolu? Jedna je stvar znati da se Sybil napad dešava, ali je sasvim drugi izazov izgraditi mehanizam provere za vašu mrežu koji pritom ne uništava samu suštinu decentralizacije.

Jedan od najstarijih trikova je jednostavno traženje identifikacije. Međutim, u Web3 svetu, to je skoro pa zabranjena reč. Prema istraživanju koje su sproveli Nitish Balachandran i Sugata Sanyal (2012), validacija identiteta se obično deli u dve kategorije: direktnu i indirektnu. Direktna podrazumeva da vas proverava centralni autoritet, dok se indirektna više oslanja na sistem preporuka. Suština je u sledećem: ako tri čvora od poverenja potvrde da ste legitimni, mreža vam dozvoljava pristup.

Ako već ne možemo da proveravamo lične dokumente, možemo barem da proverimo novčanike. Tu na scenu stupaju koncepti kao što su Proof of Stake (PoS) i Staking (ulaganje tokena). Ideja je jednostavna: učinite zlonamerno ponašanje ekonomski neisplativim.

• Slashing (Oduzimanje uloga): Ako se primeti da se čvor ponaša sumnjivo — na primer, namerno odbacuje pakete podataka ili šalje lažne informacije — mreža mu „kažnjava“ ulog. Oni gube svoj novac.
• Protokoli za dokazivanje propusnog opsega (Bandwidth Proof Protocols): Pojedini DePIN projekti zahtevaju da dokažete da zaista posedujete neophodan hardver. Ne možete tek tako simulirati hiljadu čvorova na jednom laptopu ako mreža zahteva brz odziv (ping) visokih performansi od svakog pojedinačnog čvora.

Drugi način za odbranu je analiza „oblika“ na koji se čvorovi povezuju. Upravo tu na scenu stupaju istraživanja kao što je SybilDefender. SybilDefender je odbrambeni mehanizam koji koristi metodu „nasumičnog hoda“ (random walk) po grafikonu mreže. On polazi od pretpostavke da su pošteni čvorovi međusobno dobro povezani, dok su Sybil čvorovi povezani sa ostatkom sveta samo preko nekoliko „mostova“ koje je kreirao napadač.

Umesto da samo posmatramo pojedinačne identifikatore, moramo analizirati strukturni i matematički „oblik“ mreže kako bismo utvrdili njeno zdravlje. To nas vodi ka naprednijim načinima na koje mapiramo ove konekcije.

Napredne topološke odbrane

Da li ste ikada imali osećaj da tražite iglu u plastu sena, ali ta igla neprestano menja svoj oblik? Upravo tako izgleda pokušaj uočavanja Sibil (Sybil) klastera koristeći samo osnovnu matematiku. Zbog toga moramo da analiziramo samu "strukturu" mreže.

Fascinantna stvar kod poštenih korisnika je to što oni obično formiraju grupu koja se "brzo meša" (fast-mixing) — što znači da se međusobno povezuju u čvrstu, predvidivu mrežu. Napadači su, s druge strane, zaglavljeni iza uskog mosta jer je zapravo veoma teško prevariti veliki broj stvarnih ljudi da se povežu sa botom.

• Analiza povezanosti: Algoritmi traže delove grafa koji predstavljaju "uska grla". Ako ogromna grupa čvorova komunicira sa ostatkom sveta samo preko jednog ili dva naloga, to je ogroman alarm za uzbunu.
• SybilLimit i SybilGuard: Ovi alati koriste "nasumične rute" kako bi proverili da li putanja ostaje unutar kruga poverenja ili odluta u mračni ugao mreže.
• Problemi sa skaliranjem: Za razliku od teoretskih modela gde su svi prijatelji, mreže u stvarnom svetu su haotične. Onlajn socijalno ponašanje ne prati uvek savršeno pravilo "veruj svojim prijateljima", pa moramo primeniti agresivniju matematiku.

Kao što je ranije pomenuto, SybilDefender sprovodi ove "šetnje" mrežom da vidi gde će one završiti. Ako 2.000 šetnji sa jednog čvora neprestano kruži oko istih pedeset naloga, verovatno ste pronašli Sibil napad. Studija iz 2012. godine, koju su sproveli Vei Vei i istraživači sa Koledža Vilijam i Meri, dokazala je da ovo može biti daleko preciznije od starijih metoda, čak i na mrežama sa milionima korisnika. Sistem u suštini uočava "slepe ulice" u kojima se napadač krije.

Video sam ovo na delu kod VPN sistema zasnovanih na čvorovima. Ako provajder primeti da se pojavilo 500 novih čvorova koji komuniciraju isključivo međusobno, koristi se detekcija zajednice kako bi se taj "most" presekao pre nego što ti čvorovi uspeju da ugroze mrežni konsenzus.

Budućnost VPN rešenja otpornih na cenzuru

Do sada smo detaljno analizirali kako lažni čvorovi mogu da uruše mrežu, ali kuda nas sve ovo zapravo vodi? Realnost je takva da izgradnja VPN-a koji je istinski otporan na cenzuru više nije samo pitanje bolje enkripcije; reč je o tome da mreža postane previše „teška“ da bi bilo koji manipulator mogao njome da upravlja.

Generička bezbednosna rešenja jednostavno nisu dovoljna kada radite sa blokčejn VPN-om. Potrebno je nešto prilagođenije. Specifični protokoli poput Kademlia algoritma koriste se jer prirodno otežavaju napadaču da preplavi sistem. Kademlia je „distribuirana heš tabela“ (DHT) koja koristi rutiranje zasnovano na XOR operaciji. Suštinski, ona koristi specifičnu matematičku distancu za organizaciju čvorova, što napadaču ekstremno otežava strateško „pozicioniranje“ lažnih čvorova unutar mreže bez posedovanja veoma specifičnih identifikatora čvorova (Node ID), koje je teško generisati.

• Otpornost DHT-a: Korišćenje Kademlia protokola osigurava da podaci ostanu dostupni čak i ako su neki čvorovi deo Sibil napada, jer napadač ne može lako da predvidi gde će podaci biti uskladišteni.
• Privatnost nasuprot integritetu: Ovo je hod po tankoj žici. Želite da ostanete anonimni, ali mreža mora da zna da ste stvarna osoba.
• Slojeviti pristup: Viđao sam projekte koji pokušavaju da se oslone na samo jedno rešenje i uvek bi izvukli deblji kraj. Neophodna je kombinacija stejkinga (staking) i topoloških provera.

Revizija odbrane

Kako možemo biti sigurni da ovi „izbacivači“ zapravo rade svoj posao? Ne možemo jednostavno verovati programerima na reč.

• Eksterne revizije: Bezbednosne firme se sada specijalizuju za „revizije otpornosti na Sibil napade“, gde pokušavaju da podignu botnete kako bi proverili da li će ih mreža detektovati.
• Automatizovano testiranje opterećenja: Mnogi dVPN projekti sada sprovode testove u stilu „Chaos Monkey“ algoritma, gde namerno preplavljuju sopstvene testne mreže lažnim čvorovima kako bi izmerili pad performansi.
• Otvorena metrika: Prave mreže bi trebalo da prikazuju statistike kao što su „starost čvora“ (Node Age) i „gustina povezanosti“ (Connection Density), kako bi korisnici videli da li mrežu čine dugoročni, pošteni učesnici ili botneti nastali preko noći.

Iskreno, budućnost slobode na internetu zavisi od toga da li će ove DePIN mreže uspeti da reše problem otpornosti na Sibil napade. Ako ne možemo da verujemo čvorovima, ne možemo da verujemo ni privatnosti. Na kraju krajeva, praćenje trendova u sajber bezbednosti unutar prostora za rudarenje protoka (bandwidth mining) je posao sa punim radnim vremenom. Ali ako ovo uradimo kako treba, gledamo u decentralizovani veb koji niko ne može da ugasi.