Bài viết này là từ: Gitcoin
Tác giả: Kyle Weiss , Giám đốc điều hành, Gitcoin
Các cuộc tấn công Sybil (thường được biết đến trong ngành công nghiệp airdrop với tên gọi “giật tóc”) là một vấn đề rất nghiêm trọng, nó phá hủy sự tin cậy và tính toàn vẹn của mạng phi tập trung.
Cơ chế phi tập trung hoạt động dựa trên “giả định danh tính duy nhất” – mỗi người tham gia có một danh tính độc lập trên mạng và có tiếng nói bình đẳng giữa các danh tính khác nhau – tuy nhiên, khi một người dùng được tạo thông qua một cuộc tấn công Sybil, giả định này không còn đúng khi nhiều người dùng sai danh tính được giả định và hệ thống được thao túng.
Thông qua các cuộc tấn công sybil, người dùng có thể tạo nhiều địa chỉ giả, sau đó nhận phần thưởng airdrop vượt xa so với một địa chỉ. Hành vi này làm sai lệch việc phân phối phần thưởng và làm suy yếu chương trình airdrop ban đầu, chương trình được cho là khuyến khích người dùng thực.
Cơ chế đối sánh thứ cấp và cơ chế bỏ phiếu của Gitcoin cũng dựa vào “giả định danh tính duy nhất” ở trên để hoạt động. Nếu không chống lại các cuộc tấn công của Sybil, phiếu bầu và tiền có thể được phân phối không cân xứng cho những danh tính giả không mong muốn đó, do đó phiếu bầu và tiền tài trợ mà những người tham gia chất lượng sẽ có nhận được đã bị cắt.
Bài viết này giới thiệu một khái niệm và chiến lược hoàn toàn mới – “Chi phí giả mạo”. Khái niệm này có tính đến chi phí, thời gian và nỗ lực mà kẻ tấn công cần để tạo danh tính giả. Bằng cách triển khai khái niệm này, chi phí của kẻ tấn công có thể được tăng lên và chi phí của người dùng bình thường có thể được giữ ở mức thấp. Bằng cách này, các dự án có thể sử dụng khái niệm này để hạn chế các cuộc tấn công Sybil.
Mấu chốt phá game nằm ở đâu?
Các loại tấn công sybil rất phức tạp, những kẻ khởi xướng có thể là “nhà khoa học”, tổ chức tội phạm hoặc thậm chí là một quốc gia và động cơ có thể là lợi nhuận, giải trí hoặc ác ý thuần túy. Những kẻ thù này có thể thử các chiến thuật tấn công rất khác nhau, chẳng hạn như đánh cắp danh tính, thao túng IP, botnet, tấn công kỹ thuật xã hội, ép buộc và thông đồng , v.v.
Theo tôi, một trong những điều quan trọng nhất là cần phải “làm cho tấn công đắt hơn phòng thủ”, nghĩa là chi phí cho một cuộc tấn công thành công vào một hệ thống phải cao hơn chi phí cho việc phòng thủ hiệu quả trước một cuộc tấn công như vậy. Bằng cách làm nản lòng những kẻ tấn công về mặt kinh tế, các hệ thống có thể trở nên linh hoạt hơn trước các cuộc tấn công của Sybil, cũng như các loại gian lận khác.
Cân bằng giữa “Bảo mật, Hiệu quả và Khả năng mở rộng”
Đồng thuận chống Sybil yêu cầu mỗi danh tính phải độc lập và duy nhất. Hiện tại, có một số giao thức đạt được quyền tự chủ (tạo và kiểm soát danh tính mà không có sự tham gia của bên thứ ba tập trung) và quyền riêng tư (có được và sử dụng danh tính mà không tiết lộ thông tin cá nhân) Khả năng chống lại các cuộc tấn công Sybil, ba khía cạnh này (chống lại các cuộc tấn công Sybil , bảo vệ quyền tự chủ và bảo vệ quyền riêng tư) chính xác là bộ ba bất khả thi mà các danh tính phi tập trung phải đối mặt.
Để giải quyết thách thức tấn công Sybil và thiết lập một hệ thống nhận dạng đáng tin cậy, sự cân bằng giữa bảo mật, hiệu quả và khả năng mở rộng cần được xem xét khi xây dựng hệ thống phòng thủ tấn công Sybil. Mặc dù bảo mật cao hơn có thể đạt được sức đề kháng tốt hơn, nhưng nó sẽ hạn chế hiệu quả và khả năng mở rộng của hệ thống, và ngược lại, ưu tiên hiệu quả và khả năng mở rộng cũng có thể dẫn đến sức đề kháng yếu hơn. xây dựng một hệ thống nhận dạng phi tập trung chống Sybil. Đây là lý do tại sao không có câu trả lời duy nhất cho vấn đề tấn công Sybil mà có nhiều cách tiếp cận.
Các sáng kiến của Hộ chiếu Gitcoin
Trong Hộ chiếu Gitcoin, một hệ thống xác thực danh tính trên chuỗi do Gitcoin phát triển , nhóm sử dụng hai cơ chế để đánh giá danh tính độc lập của người dùng: Xác minh nhân tính duy nhất dần dần và Xác minh nhân tính duy nhất Boolean. Các cơ chế này sẽ chỉ định trọng số cho các thành tích hành vi khác nhau của người dùng (chẳng hạn như liệu anh ta đã xác minh tài khoản Twitter hay Google của mình, anh ta có nắm giữ GTC hay ETH hay không, liệu anh ta có tham gia Tài trợ Gitcoin hay không), và sau đó Passport sẽ tính điểm tổng hợp của chủ sở hữu. Điểm số có thể xác định liệu người sở hữu Hộ chiếu có thể mở khóa một số quyền, tính năng hoặc lợi ích khác hay không. Ví dụ: để kích hoạt trình độ phù hợp phụ trong vòng cuối cùng của Vòng Beta tài trợ Gitcoin, các nhà tài trợ phải có điểm tổng hợp ít nhất là 15 hoặc cao hơn.
Trong giai đoạn phát triển tiếp theo, nhóm Hộ chiếu Gitcoin đang khám phá khái niệm “chi phí giả” như một cơ chế khác để giúp các dự án thiết kế hệ thống phòng thủ Sybil của họ. “Chi phí sai” cung cấp một số lựa chọn thiết kế, chẳng hạn như sử dụng các số liệu dễ hiểu để phân phối airdrop một cách an toàn.
Cách thực hiện khái niệm “giá giả”
Khái niệm “chi phí giả mạo” về cơ bản là một chiến lược khiến kẻ tấn công giả mạo danh tính tốn kém hơn. Điểm mấu chốt là so sánh các nguồn lực, thời gian và nỗ lực cần thiết để giả mạo danh tính với chi phí thực hiện phòng thủ. Bằng cách tăng chi phí làm giả, những kẻ tấn công ít có khả năng tham gia vào hành vi gian lận hơn, tăng tính bảo mật của hệ thống.
Nếu chiến lược chính của “chi phí làm giả” là tăng chi phí cho những kẻ tấn công trong khi vẫn giữ cho chi phí của người dùng thông thường ở mức thấp, thì điều chúng ta cần làm là tạo ra một hệ thống tốn kém hơn để tấn công hơn là phòng thủ. Dưới đây là bốn cách tiếp cận chính để xây dựng sức đề kháng Sybil ngày nay:
1. Xác minh dựa trên giấy tờ tùy thân do chính phủ cấp (bằng lái xe, hộ chiếu, chứng minh thư, v.v.);
2. Xác minh dựa trên thông tin sinh trắc học (quét khuôn mặt, quét vân tay hoặc quét võng mạc, v.v.);
3. Xác minh trực tiếp (hội nghị, bữa tiệc, v.v.) ;
4. Xác thực dựa trên mạng xã hội/tin cậy (tài khoản Web2, tài khoản Web3, NFT, ENS, v.v.).
Trong các phiên bản tương lai của Gitcoin Passport, chúng tôi sẽ phân loại và xác minh các hành vi khác nhau theo bốn phương pháp này để đảm bảo rằng nhiều cơ chế được áp dụng, vì không có giải pháp đơn lẻ nào có thể ngăn chặn hoàn toàn các cuộc tấn công Sybil và việc sử dụng nhiều cơ chế có thể giúp hệ thống hoạt động hiệu quả hơn. đối với các kiểu tấn công khác nhau.
Bất lợi tiềm năng
Mặc dù khái niệm “chi phí làm giả” có thể hiệu quả, nhưng nếu tổng chi phí làm giả trong hệ thống bằng với số tiền trong hệ thống, thì nó có thể khiến chỉ những cá nhân giàu có mới có quyền truy cập vào danh tính. Điều này đặt ra một thách thức tiềm ẩn chắc chắn có thể dẫn đến một kết quả “cao cả”, vì vậy những cơ chế xác minh cần ít vốn hơn cần được ưu tiên. Tình trạng tài chính không nên ảnh hưởng đến việc mua lại danh tính.
Tư vấn cho các bên dự án
Bất kỳ kế hoạch nào chống lại các cuộc tấn công sybil đều có thể bị bẻ khóa với một mức giá nhất định, vì vậy bên dự án cần tập trung vào việc xác định mức độ gian lận có thể chấp nhận được; các cá nhân sẽ có thể đạt được chứng nhận chống sybil hiệu quả hơn thông qua các kênh thích hợp, thay vì thông qua màu xám hoặc Mua trên thị trường chợ đen; mặc dù chi phí làm giả cần được thiết kế ở mức cao hơn, nhưng cũng cần chú ý duy trì sự cân bằng để không khiến người dùng thực sự hoàn thành việc xác minh.
Điều đáng chú ý là các hệ thống nhận dạng chống lại Sybil vẫn dễ bị tấn công thông đồng (chẳng hạn như hối lộ). Đối với một hệ thống lý tưởng, TCB (Tổng chi phí hối lộ) và TCF (Tổng chi phí gian lận) phải lớn hơn số phần thưởng dành cho công dân trong hệ thống. Mặc dù các chỉ số dựa trên chi phí rất cần thiết trong việc chống làm giả, nhưng chúng không phải lúc nào cũng là cách hiệu quả nhất để ngăn chặn làm giả và những kẻ tấn công vẫn có thể sẵn sàng chịu một số chi phí nếu lợi ích phi tài chính tiềm ẩn lớn hơn chi phí . Ví dụ, một đối tác muốn quảng bá dự án của riêng mình có thể sẵn sàng dành thời gian và nguồn lực để tạo ra nhiều danh tính giả, ngay cả khi chi phí làm giả khá cao. chịu chi phí cao để có được những lợi ích hoặc đặc quyền có giá trị.
May mắn thay, có những cơ chế khác có thể giúp chúng tôi giảm thiểu các cuộc tấn công này và Gitcoin đã nhận ra rằng nhiều giải pháp là cách duy nhất để duy trì lợi thế trong cuộc chiến chống lại những kẻ tấn công.
Cuối cùng
Khái niệm “chi phí làm giả” cung cấp cho cộng đồng một cách tiếp cận chi tiết và trực quan hơn để thiết kế tính bảo mật, hiệu quả và khả năng mở rộng của các hệ thống kháng Sybil .
Chúng tôi muốn thu thập nhiều phản hồi phù hợp hơn từ cộng đồng. Nếu bạn đang sử dụng Gitcoin Passport trong Dapps của mình hoặc dự định tích hợp nó, vui lòng cho chúng tôi biết điểm tổng thể so với chi phí làm giả như thế nào. Cuối cùng, tôi muốn nói thêm rằng khi công nghệ tiến bộ, cơ chế nhận dạng của một số người (chẳng hạn như phép thử Turing ngược) trở nên dễ bị tổn thương hơn trước trí tuệ nhân tạo, điều này cũng có thể có tác động tiêu cực đến phương pháp và thiết kế của “chi phí hàng giả”.
