Trong một Lễ hội Casa Keyfest phiên họp được tổ chức vào ngày 6 tháng XNUMX, Giám đốc An ninh Casa Ron Stoner đã đưa ra tóm tắt về “an ninh hoạt động” (OPSEC), một thuật ngữ do quân đội Hoa Kỳ đặt ra trong chiến tranh Việt Nam.

Theo Wikipedia, OPSEC là “một quá trình xác định thông tin quan trọng để xác định xem tình báo của đối phương có thể quan sát được các hành động thân thiện hay không, xác định xem thông tin mà đối thủ thu được có thể được giải thích là hữu ích cho họ hay không, sau đó thực hiện các biện pháp được lựa chọn nhằm loại bỏ hoặc giảm thiểu việc đối phương khai thác các thông tin thân thiện.” thông tin quan trọng.”

OPSEC cũng là cách nói phổ biến trong thế giới Bitcoin: Các thiết bị được sử dụng để truy cập vào quỹ bitcoin của bạn đều là các bề mặt tấn công yêu cầu bảo mật hoạt động. Stoner đã thảo luận về OPSEC từ góc độ Bitcoin và cách bảo vệ bạn khỏi những bề mặt gắn kết tiềm năng này.

Nhưng khi xem phiên họp của Stoner, tâm trí tôi không tập trung vào các hoạt động quân sự hoặc các bề mặt tấn công Bitcoin. Tôi bắt đầu nghĩ về Hollywood. Cụ thể là về 25 bộ phim James Bond hiện nay cũng như tất cả các tiện ích và phương pháp mà Bond sử dụng để đánh bại những kẻ xấu. Và cũng như tất cả những cách James Bond mất cảnh giác và tự đánh bại chính mình.

Vì vậy, hãy xem xét cách James Bond hoặc Spectre (tổ chức khủng bố toàn cầu hư cấu mà Bond chiến đấu) có thể trở nên quá tự tin hoặc lười biếng về OPSEC dành cho Bitcoin, hoặc đơn giản là ưu tiên độ phức tạp thấp hơn là bảo mật hơn cho quỹ bitcoin của họ.

Bối cảnh: MI6 và làm thế nào nó đạt được con số XNUMX

Hãy tưởng tượng rằng các cơ quan tình báo bí mật của Anh và công ty Bond MI6 chỉ sử dụng bitcoin và hiện có quyền tự chủ. Chính phủ quá vướng vào tiền tham nhũng nên MI6 đã giải quyết bằng tiền và thoái vốn khỏi chính phủ. MI6 đã đầu tư vào bitcoin như một kho lưu trữ giá trị sẽ đánh giá cao và tài trợ cho các sứ mệnh của mình cũng như đáp ứng nhu cầu về bảo mật, quyền riêng tư và tính di động. MI6 hiện chỉ sử dụng bitcoin.

Sự thay đổi nguồn tài trợ này đã buộc Bond phải bắt đầu lập ngân sách. Bond đã chi tiêu hoang phí và hoạt động theo cách ưu tiên thời gian cao. Sếp của anh, M, đã yêu cầu anh phải chịu một khoản trợ cấp nghiêm ngặt đối với ví nóng 007 cá nhân của mình. Không có lời bào chữa nào.

[ĐÂU ĐÂU TRONG NÚI MONTENEGRO]

Bond đang lái chiếc Aston Martin của mình với một tốc độ vui vẻ. Bảng điều khiển của anh ấy trở nên sống động và một giọng nói bắt đầu vang lên.

Ô tô: [Tin nhắn đến từ M]

“Bond, M đây. Nghe này, tôi đang đi nghỉ và vừa chạm trán với một vài tên cướp ở Barcelona. Họ đã đánh cắp chiếc xe thuê và bây giờ công ty bị chỉ trích đang yêu cầu tôi phải làm tốt. Moneypenny đã hết và tôi cần ai đó chuyển cho tôi 100 triệu sats từ ví MI6. Bạn có thể trở thành một người giỏi và gửi tiền từ tài khoản hoạt động của mình đến công ty cho thuê này không? Đính kèm mã QR.”

Xe: [Kết thúc tin nhắn. Bạn có muốn hồi đáp không?]

Bond cân nhắc một lúc. Tổ chức này nghe có vẻ quen thuộc với anh, nhưng anh không thể nhớ được từ đâu. Không vấn đề. Anh ấy sẽ có cuộc gặp với một người cung cấp thông tin đáng yêu ở Podgorica trong một giờ nữa, và anh ấy không có thời gian để hỏi tại sao và lý do.

Trái phiếu: “Ừ. Hãy nhắn lại cho anh ấy rằng tôi sẽ xem xét việc đó.”

Xe: [Đã gửi tin nhắn.]

Bond: “Siri, tôi cần chuyển tiền vào mã QR ở tin nhắn cuối cùng.”

Ôtô: [Đang truy cập tin nhắn cuối cùng. Dường như có một liên kết được nhúng trong tin nhắn. Quyền truy cập?]

Bond sốt ruột: “Vâng, vâng. Hãy tiếp tục.”

Ô tô: [Tập tin đến. Đang cài đặt bản cập nhật phần mềm.]

Bond: “Cái gì, tại? Không thể đợi cho đến khi tôi làm xong sao?”

Ô tô: [Đã cập nhật phần mềm. Nguồn quỹ?]

Bond: “Tôi cần truy cập vào ví hoạt động Bitcoin của mình.” [Ghi chú của biên tập viên: Không có vị trí sản phẩm ở đây].

Ô tô: [Yêu cầu xác thực sinh trắc học. Vui lòng đặt tay lên bảng điều khiển để ủy quyền.]

Bond làm như vậy. Màn hình chuyển sang màu xanh lục.

Ô tô: [Ủy quyền được chấp nhận. Đã gửi tiền. Số dư tài khoản hoạt động của bạn bây giờ bằng không. Sự tham gia của bạn không còn cần thiết cho giao dịch này.]

Trái phiếu: “Cái gì?”

Mui xe của Aston Martin thu lại.

Xe: [Tạm biệt, ông Bond.]

Phần mềm độc hại hiện đang phụ trách chiếc xe đã kích hoạt ghế phóng, Bond chộp lấy chiếc iPhone của mình và bay lên trời, một tay cầm điện thoại một cách tuyệt vọng, tay kia với lấy chiếc dù trong túi của anh ấy.

Bond không có ô tô, không có quỹ MI6 và rất ít quỹ ví nóng cá nhân.

Ví ký một lần hoặc ví đa chữ ký

Nhiều nhà cung cấp cung cấp ví đa chữ ký với thiết lập 2/3 multisig và 3/5 multisig.

Tuy nhiên, Bond và các đặc vụ khác cần phải đến một địa điểm duy nhất, lấy tiền từ kho lạnh và đi tiếp. Xuất phát từ những nhu cầu đó:

• MI6 không thiết lập multisig và thay vào đó có nhiều ví phần cứng một chữ ký
• MI6 giữ an toàn cho ví phần cứng và hạt giống dự phòng ở các vị trí tách biệt về mặt địa lý
• MI6 cũng có số tiền được chia cho tất cả các ví phần cứng lưu trữ lạnh có chữ ký duy nhất này

MI6 biết đây không phải là biện pháp bảo mật tốt nhất, nhưng đối với nhu cầu di động và thuận tiện, họ tin rằng nó phù hợp với họ.

Spectre muốn cắt nguồn vốn của MI6 và Bond. Các đặc vụ Spectre đồng thời xâm nhập vào một số địa điểm lưu trữ gần Bond, nơi chứa các hạt giống dự phòng và ví phần cứng.

Bảo mật Ring đa vị trí của Bond cảnh báo anh ta và Q rằng hai trong số các ví phần cứng và một bản sao lưu hạt giống cho ví thứ ba đã bị đánh cắp từ ba địa điểm gần anh ta. Những chiếc ví này có một thiết bị nhỏ giống như airtag của Apple được gắn trong túi Faraday của mỗi chiếc ví. Thiết bị này có khả năng truyền tín hiệu ra bên ngoài túi Faraday nhờ vào công nghệ thủ công của Q. Điều này cho phép Bond và Q theo dõi các đặc vụ đến hang ổ của chúng.

Với multisig, những kẻ xấu này sẽ gặp khó khăn hơn nhiều khi tiếp cận bất kỳ quỹ bitcoin MI6 nào, vì chúng cần có hai hoặc ba thiết bị hoặc hạt giống thích hợp để chuyển tiền từ hai trong số-
thiết lập ba hoặc ba trong số năm multisig.

Mẹo thứ nhất của OPSEC: Sử dụng túi Faraday để bảo vệ thiết bị của bạn khỏi bị hack, xóa/hư hỏng và giám sát từ xa.

Mẹo thứ hai của OPSEC: Stoner khuyên nên lưu trữ ví phần cứng ở vị trí được kiểm soát truy cập. Ví dụ: một ngăn kéo có khóa (nơi chỉ bạn mới có chìa khóa) hoặc két an toàn hoặc tòa nhà có bảo vệ có vũ trang và yêu cầu truy cập bằng giấy tờ tùy thân. Ngoài ra, hãy sử dụng túi chống giả mạo để khi thực hiện kiểm tra khóa và phần cứng hàng quý hoặc hai năm một lần, họ có thể đảm bảo rằng không có ai đã truy cập vào thiết bị.

James Bond và mã PIN 007

Những kẻ phản diện bắt đầu bằng cách cố gắng truy cập vào ví phần cứng bị đánh cắp.

Sau nhiều thập kỷ làm việc trong ngành, khả năng trốn tránh vụ giết người của chính Bond và thành công liên tục của bộ phim đã khiến anh trở thành nhân vật hàng đầu tại MI6 và hơi quá tự tin cũng như gắn bó với danh tính số của mình. Bond nhấn mạnh rằng mã PIN trên tất cả các ví MI6 là 007007. Những kẻ xấu có thể dễ dàng nhập mã PIN này, từ đó truy cập vào ví phần cứng.

Mẹo thứ ba của OPSEC: Casa khuyên bạn nên sử dụng một mã PIN cho tất cả các ví vì điều này giúp người dùng bình thường lấy lại tiền của họ dễ dàng hơn. Tuy nhiên, với các mã PIN riêng biệt, sự xâm phạm của một ví sẽ không giống với sự xâm phạm của ví phần cứng khác. Đây là một kịch bản cân bằng giữa sự phức tạp và bảo mật hơn. Ngoài ra, nếu mã PIN của một ví phần cứng bị xâm phạm, bạn sẽ cần cập nhật tất cả các ví phần cứng.

Cập nhật chương trình cơ sở và hệ điều hành

Những kẻ phản diện hiện đã được kết nối với ví phần cứng thông qua máy tính xách tay của chúng. Tuy nhiên, Q đã truy cập trang web của ví phần cứng và tạm thời cấy một tải trọng thông minh vào bản cập nhật chương trình cơ sở.

Những kẻ phản diện được yêu cầu cập nhật chương trình cơ sở và họ đã làm như vậy.

Phần sụn xâm nhập vào ví phần cứng, nhưng những kẻ xấu không nhận ra điều này và do đó cũng tiến hành cập nhật ví phần cứng tiếp theo. Họ bị phân tâm – vui mừng khi thấy số lượng bitcoin họ vừa mua được. Theo đúng nghĩa đen, họ đang đếm số bitcoin của mình trước khi nó bị đánh cắp trở lại.

Q sau đó sẽ sử dụng phần mềm độc hại của mình để chuyển tiền sang ví phần cứng khác. Ngoài ra, Bond có thể lấy lại hạt giống dự phòng và sau khi lấy được nó, anh ấy vẫn có thể khôi phục ví và nhận Bitcoin.

Mẹo thứ tư của OPSEC: Khi bạn thấy bản cập nhật chương trình cơ sở, hãy thực hiện kiểm tra thủ công. Nhập URL, xác nhận ở đó is một bản cập nhật và những gì nó chứa. Stoner khuyên bạn nên áp dụng ngay các bản cập nhật cho các bản sửa lỗi bảo mật quan trọng. Đối với các bản cập nhật khác, hãy kiểm tra ngày phát hành và có thể đợi vài ngày để “nóng” trong khi cộng đồng đang thử nghiệm chương trình cơ sở sản xuất mới. Bạn cũng có thể muốn cập nhật chương trình cơ sở để tận dụng các bản cập nhật giao thức mới, chẳng hạn như các cải tiến của Taproot. Khi nó có sẵn, do sử dụng bất kỳ công cụ phần mềm nào có sẵn để kiểm tra chữ ký số hoặc tổng kiểm tra MD5 trên tệp cập nhật chương trình cơ sở.

Mẹo thứ năm của OPSEC: Trong quá trình cập nhật chương trình cơ sở, hãy đảm bảo bạn đã cắm cáp chắc chắn và không ngắt kết nối trong quá trình cập nhật. Luôn sử dụng cáp đi kèm với thiết bị vì có thể có sự khác biệt giữa nhà sản xuất.

Mẹo thứ sáu của OPSEC: Đối với thiết bị di động, máy tính xách tay hoặc máy tính để bàn của bạn, hãy luôn cập nhật tất cả các bản vá. Tuy nhiên, tốt nhất bạn nên đợi vài ngày hoặc một tuần để đảm bảo các bản cập nhật không có vấn đề gì.

Mẹo thứ bảy của OPSEC: Bất cứ thứ gì bạn kết nối đều là bề mặt tấn công - hãy bảo vệ nó một cách phù hợp. Stoner không khuyến nghị các thiết bị có khe hở không khí cho người dùng bình thường. (Điều đó nói lên rằng, một số người coi ví phần cứng là air-gap). Trái phiếu là tài sản có rủi ro cao, sử dụng các thiết bị air-gap để thực hiện ký ngoại tuyến, sau đó truyền phát giao dịch trên máy được kết nối mạng. Tuy nhiên, sự thiếu kiên nhẫn và “kế hoạch” của Bond đã khiến anh trở nên lỏng lẻo.

An ninh và Bảo vệ

Những kẻ phản diện bây giờ chuyển sang cụm từ hạt giống dự phòng để khôi phục nó vào ví phần cứng mới.

Những nhân vật phản diện Spectre này rất tự phụ và mắc phải sự tự tin thái quá mà những kẻ ác này thường có trong phim. (Lưu ý: người ác ngoài đời không như vậy. Họ thông minh chết tiệt).

Một kẻ ác đọc các từ gốc cho ai đó bằng cách sử dụng các phím để khôi phục ví phần cứng mới. Trong lúc đó, Bond đã đột nhập vào trợ lý Alexa của họ và có thể nghe thấy họ đọc những từ gốc.

Bond nhận được các từ gốc và sau đó có thể khôi phục vào một ví phần cứng mới dự phòng và chuyển tiền của mình đi nơi khác trước khi những kẻ xấu dò dẫm xong. Đối với những kẻ phản diện, có vẻ như không còn sat nào trên thiết bị.

Mẹo thứ tám của OPSEC: Trước khi sử dụng bất kỳ thiết bị nào, Stoner đã nói về việc quét chu vi vật lý của bạn để tìm người hoặc các thiết bị khác có thể đang nghe, xem hoặc ghi âm. Trong lịch sử, chúng ta bị cô lập trong nhà và chỉ có người khác hoặc công nghệ mới nhìn thấy chúng khi ra khỏi nhà. Điều đó đã thay đổi — tất cả chúng ta đều có thiết bị có camera và micrô trong nhà hoặc trên đồng hồ trên cổ tay. Stoner không khuyên dùng các trình phát hiện lỗi vì chúng khó sử dụng và có thể tạo ra nhiều kết quả dương tính giả. Gỡ bỏ mọi thiết bị bổ sung (có thể đang nghe hoặc xem) khỏi phòng.

Mẹo thứ chín của OPSEC: Trước khi sử dụng, hãy kiểm tra thiết bị xem có dấu hiệu giả mạo nào không.

Vũ khí phần cứng

Trong khi những kẻ hung ác đang thắc mắc chuyện gì đã xảy ra, Bond đột nhập vào ô tô của họ và cắm cáp OMG vào bộ sạc iPhone trên ô tô của họ. Cáp này tiêm phần mềm độc hại vào iPhone.

Bond mua một lượng lớn bitcoin bằng ứng dụng iPhone của họ và chuyển nó vào ví nóng cá nhân của anh ấy. Hiện anh ấy đã bổ sung đầy đủ ví nóng của mình để có thể ăn mừng theo cách thông thường của mình.

Mẹo thứ mười của OPSEC: Đối với cáp, Stoner khuyên bạn nên cẩn thận khi mua chúng và không sử dụng cáp hoặc thiết bị USB ngẫu nhiên. Cách tốt nhất là sử dụng cáp đi kèm với thiết bị khi bạn mua thiết bị.

Bảo mật kỹ thuật số

Những kẻ phản diện vẫn tồn tại, như họ thường làm. Có một khoản lợi nhuận tiềm năng rất lớn. Bitcoin vừa tăng vọt lên 500,000 USD. Lần này, Spectre cử một phụ nữ đến làm việc này.

Bond hỏi chi tiết liên lạc của cô ấy và cô ấy nhắn tin cho anh ấy thông tin đó cùng với liên kết Instagram tới một số hình ảnh của cô ấy. Bond nhấp vào liên kết trên điện thoại của mình và điện thoại của anh ấy vô tình kết nối với một trang web bất chính và tải xuống phần mềm độc hại. Bond sau đó muốn xem những bức ảnh trên màn hình máy tính xách tay của mình, và một lần nữa, Bond đã bất cẩn lây nhiễm cả hai thiết bị của mình.

Q không nói với Bo sao
và đến không bao giờ nhấp vào liên kết?!

Mẹo Eleven của OPSEC: Stoner có câu thần chú giống tôi: Làm không bấm vào liên kết. Tự nhập URL vào trình duyệt. Hoặc, bạn có thể tìm thấy các liên kết thông qua một công cụ tìm kiếm. Nếu bạn phải nhấp vào một liên kết, chế độ riêng tư của trình duyệt, máy ảo và các công cụ bảo mật khác có thể giúp cung cấp bảo mật tốt hơn.

Kiểm tra bản sao lưu và kế hoạch của bạn

Với bất kỳ tài sản kỹ thuật số nào bạn có, bạn nên kiểm tra định kỳ các bản sao lưu của mình để đảm bảo các bản sao lưu vẫn tồn tại và bạn có thể khôi phục từ chúng. Điều này cũng đúng với ví phần cứng và bất kỳ hạt giống nào bạn giữ.

Không phải tất cả chúng ta đều có cảnh báo về các vị trí lưu trữ lạnh của mình để biết liệu chúng có bị xâm phạm hay không. Hãy suy nghĩ thông qua một kế hoạch hành động trước một cái gì đó đang bị tổn hại.

OPSEC bitcoin

Điều quan trọng là phải hết sức cảnh giác trước các mối đe dọa và nhiệm vụ trước mắt khi xử lý tiền của bạn. Bạn nên bị hoang tưởng. Bạn nên hãy cẩn thận. Và, nếu điều đó không rõ ràng, bạn đừng bao giờ sử dụng Wifi công cộng cho bất kỳ hoạt động nào mà bạn quan tâm.

Giống như Bond chơi trò mèo vờn chuột với những kẻ phản diện, các hacker mũ đen và các nhà nghiên cứu bảo mật mũ trắng cũng vậy. Hacker liên tục khai thác trong khi các kỹ sư bảo mật liên tục đưa ra các bản vá.

Mọi người thích chơi trò chơi điện tử vì sự phấn khích và thử thách. Chưa hết, khi bạn cần triển khai bảo mật thiết bị - bảo mật vật lý và cập nhật bản vá, ví phần cứng và bản cập nhật chương trình cơ sở cũng như kiểm tra khóa phần cứng, những hành động này trở nên tẻ nhạt và nhàm chán. Hoặc bị lãng quên.

Thế giới không còn là việc nhốt bạn ở một nơi an toàn hay cảm thấy an toàn khi bạn di chuyển ở bất kỳ khu vực nào. Công nghệ có thể tiếp cận bạn mọi lúc mọi nơi - ở nhà, bất cứ nơi nào bạn đi và thông qua bất cứ thứ gì bạn đang xem hoặc sử dụng để thuận tiện.

Sự tiện lợi là kẻ thù của an ninh. Sự dễ dàng và thoải mái là kẻ thù của an ninh. Đừng làm cho bảo mật của bạn trở nên thuận tiện hoặc dễ dàng cho những kẻ xấu xâm nhập. Nếu bạn làm vậy, đến một lúc nào đó, sự bất cẩn hoặc kẻ xấu sẽ tóm được bạn, và đó sẽ khiến bạn mất đi… số tiền bitcoin quý giá.

Đây là một bài đăng của Heidi Porter. Các ý kiến ​​được bày tỏ hoàn toàn là của riêng họ và không nhất thiết phải phản ánh ý kiến ​​của BTC Inc hoặc Tạp chí Bitcoin.

Nguồn: https://bitcoinmagazine.com/culture/james-bond-learning-bitcoin-opsec-tips