Nemokama interaktyvi demonstracija
Iškarpinės kenkėjiška programa nesulaužo tavo piniginės. Ji pakeičia tai, ką įklijuoji. Nukopijuok žemiau esantį fiktyvų adresą, perjunk aiškiai pažymėtą atakos jungiklį, įklijuok ir stebėk, kaip pakeitimas įvyksta tau pačiam. Patirti tai vieną kartą sveria daugiau nei perskaityti apie tai dešimt kartų.
Tik fiktyvūs adresai. Prie tavo iškarpinės prisiliečia tik tavo kopijavimas ir įklijavimas.
Įsivaizduok, kad draugas ką tik atsiuntė tau šį adresą apmokėjimui. Jis fiktyvus ir sąmoningai neteisingas, bet tavo iškarpinei jis – toks pat tekstas kaip bet kuris kitas. Būtent tai ir yra esmė.
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealIŠJUNGTA: kopijavimas sąžiningas ir į iškarpinę įdeda būtent tai, ką matai
Ši siuntimo forma – tik rekvizitas. Mygtukas niekada nieko niekam nesiunčia. Įklijuok adresą, kurį ką tik nukopijavai, ir atidžiai apžiūrėk prieš „siunčiant“.
Ką matei (ir manei, kad nukopijavai)
Ką tavo iškarpinė iš tikrųjų pateikė
Pirmieji 8 ir paskutiniai 8 simboliai identiški. Užpuolikai generuoja pritaikytus adresus, kad sutaptų galai, nes dauguma žmonių tikrina būtent galus.
Šioje demonstracijoje pakeitimas išgyveno žvilgsnį į abu galus. Štai ko jis neišgyvena:
Ne du ar tris. Palygink ištisą eilutę abiejuose galuose (aštuonis ar daugiau simbolių) ir atsitiktinai patikrink vidurį. „Nuodijimo“ rinkiniai pigiai sutampa su trumpais galais. Kiekvienas papildomas patikrintas simbolis padaugina jų kaštus. Skaityk tiesiai iš gavėjo ekrano, ne iš atminties.
Prieš bet kokį pervedimą, kurio praradimas skaudėtų, pirmiausia išsiųsk visai mažą sumą. Kitu kanalu patvirtink su gavėju, kad ji pasiekė. Pakeistas adresas pavogs tik mažą testinę sumą, ne visą balansą. Tik tada siųsk tikrąją sumą – į adresą, kurį patvirtino testas.
Aparatinė piniginė tikrąjį gavėją rodo savo pačios ekrane, iki kurio kenkėjiška programa nepasiekia. Jei adresas įrenginio ekrane nesutampa su tuo, kuriam norėjai sumokėti, kompiuteris tau meluoja. Tas ekranas ir egzistuoja būtent šiai atakai.
Kodėl kelių simbolių tikrinimas neveikia: sugeneruoti adresą, kurio keli pirmieji ir paskutiniai simboliai sutaptų su tikslu, yra tiesiog brutalios jėgos metodas. Prie 3 simbolių kiekviename gale tai pigu, prie 8 – brangu, o vidurys niekada nesutampa. Demonstracijos panašus adresas sąmoningai sutampa 8 + 8.
Kenkėjiška programa, kuri perrašo tavo iškarpinę, veikia tame pačiame įrenginyje, kur žmonės laiko sėklines frazes užrašų programose, privačius raktus tekstiniuose failuose, o dviejų veiksnių autentifikavimo atsarginius kodus – ekrano nuotraukose. Iškarpinės stebėtojas ne tik keičia adresus. Jis nuskaito viską, kas pro jį praeina, ieškodamas bet ko, kas panašu į raktą. Neužšifruotas tekstas užkrėstame įrenginyje jau prarastas. Adreso pakeitimas – tik ta versija, kurią gali pamatyti savo akimis. Būtent dėl to raktus ir kodus reikia laikyti užšifruotame seife tavo įrenginyje ir niekada neleisti tikrai sėklinei frazei net prisiliesti prie iškarpinės.
Abi demonstracijos eilutės yra fiktyvios IR įrodomai neteisingos. Jose yra raidė „o“ – vienas iš keturių simbolių (1, b, i, o), kuriuos bc1 adreso formatas sąmoningai atmeta, kad būtų išvengta klaidingo skaitymo. Todėl jų nepriims jokia piniginė ir jos negali susikirsti su niekieno lėšomis. Tikra iškarpinės kenkėjiška programa stebi ir perrašo tavo iškarpinę nuolat, fone, be perstojo. Ši demonstracija pakeitimą atlieka tik tą akimirką, kai paspaudi „Kopijuoti“ su matomai įjungtu atakos jungikliu. Puslapis niekada nekviečia jokio iškarpinės skaitymo API. Vienintelis tekstas, kurį jis kada nors mato, yra tai, ką įklijuoji į vieną jo lauką, o tai lokaliai palyginama su dviem demonstracijos eilutėmis ir iškart atmetama. Nieko neišsaugoma, nieko nesiunčiama, o perkrovus puslapį viskas atstatoma iš naujo.
Sealby laiko sėklines frazes, raktus ir kodus užšifruotus tavo iPhone įrenginyje. Jie iššifruojami tik seifo viduje ir niekada nepaliekami kaip skaitomas tekstas ten, kur žvalgosi iškarpinės stebėtojas. Nėra paskyros sukčiavimui, prireikus – viskas paneigiama.
iPhone ir iPad · iOS 17+ · Nemokama