Vitalik新文：后深度伪造时代下如何保证信息安全？

ชื่อเดิม: ถามคำถามเพื่อความปลอดภัย

ผู้เขียนต้นฉบับ: Vitalik

การรวบรวมต้นฉบับ: Luccy, BlockBeats

หมายเหตุบรรณาธิการ: เมื่อวันที่ 4 กุมภาพันธ์ เจ้าหน้าที่การเงินของบริษัทข้ามชาติแห่งหนึ่งถูกฉ้อโกงมูลค่า 25 ล้านดอลลาร์ในระหว่างการประชุมทางวิดีโอ นักต้มตุ๋นใช้เทคโนโลยี Deepfake เพื่อแอบอ้างเป็นประธานเจ้าหน้าที่ฝ่ายการเงินของบริษัท ในตอนแรกพนักงานรายดังกล่าวสงสัยว่าเป็นอีเมลฟิชชิ่งหลังจากได้รับข้อความที่อ้างว่ามาจากประธานเจ้าหน้าที่ฝ่ายการเงินของบริษัทในสหราชอาณาจักร เนื่องจากได้พูดถึงความจำเป็นในการทำข้อตกลงลับ อย่างไรก็ตาม หลังจากวิดีโอคอล พนักงานคนนั้นก็เลิกกังวลในตอนแรก เนื่องจากคนอื่นๆ ที่เข้าร่วมงานมีหน้าตาและเสียงเหมือนเพื่อนร่วมงานที่เขารู้จัก แต่ในความเป็นจริงแล้ว ทั้งหมดล้วนเป็นผลิตภัณฑ์ความบันเทิงปลอมๆ

ในเรื่องนี้ Vitalik เชื่อว่าการเข้ารหัสไม่ได้แก้ปัญหาทั้งหมด โดยชี้ให้เห็นว่าการใช้ประโยชน์จากฐานข้อมูลที่มนุษย์จดจำได้ดีโดยธรรมชาติ การตั้งคำถามเพื่อความปลอดภัยนั้นคุ้มค่าที่จะรวมเข้ากับขั้นตอนการทำงาน นอกเหนือจากการป้องกันชั้นอื่นๆ แต่เขายังกล่าวด้วยว่าแม้ว่าปัญหาด้านความปลอดภัยจะมีประโยชน์ แต่ก็ยังไม่ได้มีมนุษยธรรมเพียงพอ BlockBeats รวบรวมข้อความต้นฉบับดังนี้:

ขอขอบคุณเป็นพิเศษสำหรับ Hudson Jameson, OfficerCIA และ samczsun สำหรับคำติชมและบทวิจารณ์

มีหนึ่งบทความในสัปดาห์ที่ผ่านมาบทความมีเรื่องราวแพร่สะพัดเกี่ยวกับบริษัทที่สูญเสียเงิน 25 ล้านดอลลาร์ หลังจากที่เจ้าหน้าที่การเงินถูกหลอกให้ส่งเงินไปให้นักต้มตุ๋นที่สวมรอยเป็น CFO โดยดูเหมือนผ่านวิดีโอคอลปลอมที่สมจริงมาก

เมื่อเร็ว ๆ นี้ deepfakes ซึ่งเป็นเสียงและวิดีโอปลอมที่สร้างโดยปัญญาประดิษฐ์ ได้ปรากฏขึ้นพร้อมกับความถี่ที่เพิ่มขึ้นในพื้นที่ของสกุลเงินดิจิทัลและที่อื่น ๆ ในช่วงไม่กี่เดือนที่ผ่านมา วิดีโอ Deepfake ของฉันถูกใช้เพื่อเร่ขายกลโกงและ Dogecoin ต่างๆ คุณภาพของ Deepfake กำลังปรับปรุงอย่างรวดเร็ว และแม้ว่าวิดีโอ Deepfake ในปี 2020 จะค่อนข้างแย่ แต่ก็แยกแยะได้ยากขึ้นเรื่อยๆ ในช่วงหลายเดือนที่ผ่านมา คนที่รู้จักฉันดียังสามารถบอกได้ว่าวิดีโอที่ฉันขาย Dogecoin เป็นของปลอมเพราะฉันพูดว่า ไปกันเถอะ ในวิดีโอ และฉันใช้ LFG เพื่อหมายถึง กำลังมองหากลุ่ม เท่านั้น แต่คนที่ได้ยินเสียงของเราเพียงไม่กี่ครั้งก็อาจถูกหลอกได้ง่าย

ฉันแจ้งผู้เชี่ยวชาญด้านความปลอดภัยเกี่ยวกับการขโมยเงินจำนวน 25 ล้านดอลลาร์ที่กล่าวถึงข้างต้นแล้ว และพวกเขาทั้งหมดเห็นพ้องกันว่าเป็นความล้มเหลวที่ผิดปกติและน่าอับอายของการรักษาความปลอดภัยในการปฏิบัติงานขององค์กรในหลายระดับ และแนวทางปฏิบัติมาตรฐานนั้นคือต้องใช้เงินมากกว่า 100% ก่อนที่จะอนุมัติการโอนใดๆ ของที่ใดก็ได้ใกล้กับจำนวนนั้นระดับของลายเซ็นแต่ความจริงก็คือในปี 2024 การสตรีมเสียงหรือวิดีโอของบุคคลไม่ใช่วิธีที่ปลอดภัยในการยืนยันตัวตนอีกต่อไป

สิ่งนี้ทำให้เกิดคำถาม: วิธีที่ปลอดภัยในการตรวจสอบสิทธิ์คืออะไร?

วิธีการเข้ารหัสเพียงอย่างเดียวไม่สามารถแก้ปัญหาได้

ความสามารถในการยืนยันตัวตนของบุคคลอย่างปลอดภัยเป็นสิ่งสำคัญสำหรับบุคคลทุกประเภทในทุกสถานการณ์:บุคคลจำเป็นต้องฟื้นฟูตนเองกระเป๋าเงินหลายลายเซ็นหรือการกู้คืนทางสังคมธุรกิจจำเป็นต้องได้รับการอนุมัติสำหรับการทำธุรกรรมทางธุรกิจ บุคคลต้องได้รับการอนุมัติสำหรับการทำธุรกรรมขนาดใหญ่สำหรับการใช้งานส่วนตัว (เช่น การลงทุนในการเริ่มต้น ซื้อบ้าน การส่งเงิน) ไม่ว่าจะใช้สกุลเงินดิจิตอลหรือสกุลเงิน fiat หรือแม้แต่สมาชิกในครอบครัวที่ต้องการสื่อสารกับแต่ละคน อื่น ๆ ในการตรวจสอบกรณีฉุกเฉิน ดังนั้นเราจึงต้องการโซลูชันที่ดีที่สามารถรับมือกับยุคของวิดีโอ Deepfake ที่กำลังจะมาถึง

ในวงการคริปโตเคอเรนซี คำตอบหนึ่งสำหรับคำถามนี้ที่ฉันมักจะได้ยินคือ: คุณสามารถตรวจสอบตัวเองได้โดยการจัดเตรียมลายเซ็นเข้ารหัสของ ENS/โปรไฟล์หลักฐานของมนุษย์/ที่อยู่คีย์ PGP สาธารณะ คำตอบนั้นน่าหลงใหล อย่างไรก็ตาม เป็นการเพิกเฉยโดยสิ้นเชิงว่าเหตุใดจึงมีประโยชน์ที่จะมีผู้อื่นเข้ามาเกี่ยวข้องเมื่อลงนามในข้อตกลง สมมติว่าคุณเป็นตัวแทนของผู้ใช้แต่ละรายด้วยกระเป๋าเงินหลายลายเซ็นส่วนตัว และคุณกำลังส่งธุรกรรมที่ต้องได้รับการอนุมัติจากผู้ลงนามร่วมหลายราย พวกเขาจะอนุมัติภายใต้สถานการณ์ใด? เมื่อพวกเขามั่นใจว่าคุณคือคนที่ต้องการโอนจริงๆ หากพวกเขาพบว่าผู้ค้าเป็นแฮ็กเกอร์ที่ขโมยกุญแจของคุณหรือผู้ลักพาตัว พวกเขาจะไม่อนุมัติธุรกรรม ในสภาพแวดล้อมขององค์กร มักจะมีการป้องกันหลายชั้น แต่ถึงอย่างนั้น ผู้โจมตีอาจแอบอ้างเป็นผู้จัดการ ไม่ใช่แค่ในคำขอสุดท้ายเท่านั้น แต่ยังอยู่ในกระบวนการอนุมัติก่อนด้วย พวกเขาอาจจี้คำขอที่ถูกต้องตามกฎหมายโดยระบุที่อยู่ที่ไม่ถูกต้อง

ดังนั้นในหลายกรณีเพื่อให้ผู้ลงนามรายอื่นยอมรับคุณลงนามด้วยคีย์ของคุณเพื่อยืนยันว่า คุณคือคุณ จะเป็นการเอาชนะวัตถุประสงค์ทั้งหมด: มันจะเปลี่ยนสัญญาทั้งหมดให้เป็นมัลติซิกแบบ 1 ต่อ 1 ที่ต้องการเพียงการควบคุมคีย์เดียวของคุณเท่านั้น สามารถขโมยเงินได้!

นี่คือคำตอบที่เราคิดขึ้นมาซึ่งสมเหตุสมผลจริงๆ:คำถามเพื่อความปลอดภัย.

คำถามเพื่อความปลอดภัย

สมมติว่ามีคนส่งข้อความถึงคุณโดยอ้างว่าเป็นเพื่อนของคุณ พวกเขาส่งข้อความจากบัญชีที่คุณไม่เคยเห็นมาก่อนโดยอ้างว่าทำอุปกรณ์หายทั้งหมด คุณจะทราบได้อย่างไรว่าพวกเขาเป็นคนจริงหรือไม่?

มีคำตอบที่ชัดเจน: ถามในสิ่งที่มีเพียงพวกเขาเท่านั้นที่รู้ ซึ่งควรจะเกี่ยวข้องกับ:

• คุณรู้

• สิ่งที่คุณคาดหวังให้พวกเขาจดจำ

• สิ่งที่ชาวเน็ตไม่รู้

• ยากที่จะคาดเดา

• ตามหลักการแล้ว แม้แต่ผู้ที่บุกรุกฐานข้อมูลขององค์กรและภาครัฐก็ยังไม่รู้เรื่องนี้

อย่าลังเลที่จะถามพวกเขาเกี่ยวกับประสบการณ์ที่แบ่งปัน เช่น:

• ครั้งสุดท้ายที่เราเจอกัน คุณทานอาหารเย็นที่ร้านไหนและกินอะไร?

• เพื่อนของเราคนไหนเล่าเรื่องตลกเกี่ยวกับรัฐบุรุษในสมัยโบราณ? เป็นนักการเมืองคนไหน?

• คุณไม่ชอบหนังเรื่องที่เราดูเมื่อเร็ว ๆ นี้ใช่ไหม?

• สัปดาห์ที่แล้วคุณแนะนำให้ฉันพูดคุยบ้างเพื่อดูว่าพวกเขาจะช่วยในการค้นคว้าเรื่อง XXX ของเราได้หรือไม่

ตัวอย่างคำถามเพื่อความปลอดภัยล่าสุดที่ใช้งานได้จริงซึ่งมีผู้ใช้ในการยืนยันตัวตนของฉัน

ยิ่งคำถามของคุณมีเอกลักษณ์มากเท่าไรก็ยิ่งดีเท่านั้น คำถามที่อยู่ตรงหน้าซึ่งผู้คนต้องคิดสักสองสามวินาทีและอาจลืมคำตอบได้ดีที่สุด แต่หากคนที่คุณถามอ้างว่าลืม อย่าลืมถามพวกเขาอีกสามคำถาม การถามรายละเอียดแบบ เล็กๆ น้อยๆ (สิ่งที่บางคนชอบหรือไม่ชอบ เรื่องตลกเจาะจง ฯลฯ) มักจะดีกว่าการขอรายละเอียดแบบ มาโคร เนื่องจากแบบแรกมักจะยากกว่าสำหรับบุคคลที่สามที่จะขุดขึ้นมาโดยไม่ตั้งใจ เช่น แม้ว่าจะเพียงแต่ บุคคลหนึ่งโพสต์รูปภาพอาหารค่ำบน Instagram และ LLM สมัยใหม่อาจสามารถจับภาพได้อย่างรวดเร็วและระบุตำแหน่งแบบเรียลไทม์ หากคำถามของคุณมีแนวโน้มที่จะถูกเดาได้ กล่าวคือ มีตัวเลือกที่สมเหตุสมผลเพียงไม่กี่ตัวเลือก ให้เพิ่มคำถามอื่นเพื่อเพิ่มเอนโทรปี

ผู้คนมักจะหยุดมีส่วนร่วมในแนวปฏิบัติด้านความปลอดภัยหากคำถามเพื่อความปลอดภัยนั้นน่าเบื่อ ดังนั้นให้ตั้งคำถามเพื่อความปลอดภัยให้น่าสนใจ สิ่งเหล่านี้สามารถเป็นวิธีในการจดจำประสบการณ์เชิงบวกที่แบ่งปัน และอาจเป็นแรงจูงใจให้มีประสบการณ์เหล่านั้นจริงๆ

เพิ่มปัญหาด้านความปลอดภัยแล้ว

ไม่มีกลยุทธ์การรักษาความปลอดภัยแบบใดที่สมบูรณ์แบบ ดังนั้นจึงเป็นการดีที่สุดที่จะรวมเทคนิคต่างๆ เข้าด้วยกัน

• รหัสผ่านที่ตกลงไว้ล่วงหน้า: เมื่อคุณอยู่ด้วยกัน จงใจยอมรับรหัสผ่านทั่วไปเพื่อให้คุณสามารถใช้เพื่อยืนยันตัวตนของกันและกันได้ในอนาคต

• คุณอาจเห็นด้วยกับปุ่มตกใจ: คำที่คุณสามารถแทรกเข้าไปในประโยคโดยไม่ได้ตั้งใจเพื่อแนะนำให้อีกฝ่ายรู้ว่าคุณกำลังถูกบังคับหรือคุกคาม คำนี้ควรจะธรรมดาพอที่จะทำให้รู้สึกเป็นธรรมชาติเมื่อคุณใช้มัน แต่หายากพอที่จะไม่แทรกเข้าไปในคำพูดของคุณโดยไม่ได้ตั้งใจ

• เมื่อมีคนส่งที่อยู่ ETH ให้คุณ ขอให้พวกเขายืนยันในหลายช่องทาง (เช่น ข้อความส่วนตัวบน Signal และ Twitter บนเว็บไซต์ของบริษัท หรือแม้แต่ผ่านคนรู้จักร่วมกัน)

• ป้องกันการโจมตีจากคนกลาง: “หมายเลขที่ปลอดภัย” ของ Signal, อิโมจิของ Telegram และฟีเจอร์ที่คล้ายกันนั้นควรค่าแก่การทำความเข้าใจและระมัดระวัง

• ขีดจำกัดและความล่าช้ารายวัน: เพียงกำหนดความล่าช้าในการดำเนินการที่สำคัญสูงและไม่สามารถย้อนกลับได้ ซึ่งสามารถทำได้ในระดับนโยบาย (ตกลงล่วงหน้ากับผู้ลงนามว่าพวกเขาจะรอ N ชั่วโมงหรือวันก่อนลงนาม) หรือในระดับรหัส (กำหนดข้อจำกัดและความล่าช้าในรหัสสัญญาอัจฉริยะ)

การโจมตีขั้นสูงที่อาจเป็นไปได้มีไว้สำหรับผู้โจมตีเพื่อแอบอ้างเป็นผู้บริหารและผู้รับสิทธิ์ในหลายขั้นตอนในกระบวนการอนุมัติ ทั้งปัญหาด้านความปลอดภัยและความล่าช้าสามารถป้องกันปัญหานี้ได้ และวิธีที่ดีที่สุดคือใช้ทั้งสองอย่าง

คำถามเพื่อความปลอดภัยมีประโยชน์เพราะไม่เหมือนกับเทคโนโลยีอื่นๆ ตรงที่คำถามล้มเหลวไม่ใช่เพราะไม่เป็นมิตร แต่เป็นเพราะไม่เป็นมิตรกับผู้ใช้มากพอ ปัญหาด้านความปลอดภัยขึ้นอยู่กับข้อมูลที่มนุษย์จดจำได้ดีโดยธรรมชาติ ฉันใช้คำถามเพื่อความปลอดภัยมาหลายปีแล้ว และจริงๆ แล้วมันเป็นนิสัยที่เป็นธรรมชาติและไม่อึดอัดซึ่งคุ้มค่าที่จะรวมเข้ากับขั้นตอนการทำงานของคุณ นอกเหนือจากการปกป้องชั้นอื่นๆ

โปรดทราบว่าปัญหาด้านความปลอดภัย ระหว่างบุคคล ที่อธิบายไว้ข้างต้นนั้นมีกรณีการใช้งานที่แตกต่างกันอย่างมากจากปัญหาด้านความปลอดภัย ระหว่างบุคคล เช่น การโทรออกหลังจากปิดการใช้งานบัตรเครดิตของคุณหลายครั้งเนื่องจากคุณได้เดินทางไปที่อื่น ประเทศ ไปที่ธนาคารเพื่อเปิดใช้งานบัตรเครดิตของคุณอีกครั้ง จากนั้นรอต่อคิว 40 นาทีพร้อมฟังเพลง และพนักงานธนาคารก็ปรากฏตัวขึ้นและถามชื่อ วันเกิด และบางทีอาจเป็นธุรกรรมสามรายการล่าสุดของคุณ ประเภทของคำถามที่บุคคลรู้คำตอบนั้นแตกต่างอย่างมากจากประเภทของคำถามที่ธุรกิจรู้คำตอบ ดังนั้นจึงควรพิจารณาทั้งสองกรณีแยกกัน

สถานการณ์ของทุกคนไม่ซ้ำกัน ดังนั้นประเภทของข้อมูลที่ไม่ซ้ำกันที่คุณแบ่งปันกับบุคคลที่คุณต้องการยืนยันตัวตนจะแตกต่างกันไป การปรับเทคโนโลยีให้เข้ากับสถานการณ์ของผู้คนมักจะดีกว่าการปรับผู้คนให้เข้ากับเทคโนโลยี เทคนิคไม่จำเป็นต้องสมบูรณ์แบบในการทำงาน แนวทางที่เหมาะสมที่สุดคือการผสมผสานเทคนิคต่างๆ เข้าด้วยกันและเลือกเทคนิคที่เหมาะกับคุณที่สุด ในยุคหลังดีพเฟค เราจำเป็นต้องปรับกลยุทธ์เพื่อปรับให้เข้ากับความเป็นจริงใหม่ของสิ่งที่ปลอมได้ง่ายในปัจจุบันและสิ่งที่ปลอมได้ยาก แต่ตราบใดที่เราทำอย่างนั้น การรักษาความปลอดภัยก็ยังเป็นไปได้ทั้งหมด .

ลิงค์เดิม