Công ty giúp bạn đòi lại tiền đã làm mất chìa khóa của toàn bộ khách hàng
Một công ty chuyên giúp mọi người tìm xem «khoản tiền này đã đi đâu» đã làm mất hết chìa khóa của tất cả khách hàng. Họ tên, tên người dùng, mã băm mật khẩu, cùng cả những token đăng nhập còn hiệu lực. Tất cả khách hàng, không sót một ai.
Điều thực sự rắc rối nằm ở bốn chữ cuối. Token.
Mã băm mật khẩu thì phải giải, còn token thì không cần. Đó là mảnh giấy máy chủ đưa cho bạn ngay khi bạn đăng nhập thành công. Ai cầm mảnh giấy ấy thì chính là bạn; không cần bẻ khóa, không cần đoán, mà nó vẫn còn hiệu lực.
Chuyện xảy ra vào tháng Mười. Thông báo đầu tiên được đưa ra hôm 30, nói rằng chỉ có những thông tin không nhạy cảm theo cách gọi của họ như mã số, họ tên, email bị lộ. Qua một cuối tuần, cuộc điều tra mở rộng phạm vi ra toàn bộ dữ liệu, nhưng đến thứ Tư họ mới đổi lời.
Vì sao hai ngày đó họ không nói gì? Công ty chẳng giải thích gì cả. Họ chỉ nói một câu: đã tìm ra và khắc phục lối vào của cuộc tấn công. Lối vào ở đâu, đến giờ vẫn chẳng ai biết. Thế mà gọi là giải trình sao?
Sau đó, họ thẳng tay dừng một nửa hoạt động kinh doanh. Trang đăng nhập, bảng điều khiển theo dõi, giám sát giao dịch, sàng lọc địa chỉ — tất cả đều ngừng hoạt động cùng lúc. Quy trình khôi phục là trước tiên phải gửi IP tĩnh của công ty để đưa vào danh sách cho phép, rồi sau khi vào được thì bắt buộc đổi mật khẩu và luân chuyển khóa.
Nhiều người nghĩ phân tích trên chuỗi vốn dĩ an toàn, vì sổ cái công khai mà. Chỉ có sổ cái là công khai. Máy chủ đăng nhập vốn không nằm trên chuỗi; nó ở trong một trung tâm dữ liệu, và ai đã vào đó thì đều được ghi trong nhật ký.
Khi lệnh rút tiền mã hóa của bạn bị chặn, hoặc bị yêu cầu bổ sung giấy tờ, việc đánh giá đó chưa chắc hoàn toàn do sàn giao dịch tự thực hiện. Những công ty kiểu này thực chất bán một bộ cơ sở dữ liệu gắn nhãn: địa chỉ nào thuộc về ai, khoản tiền nào đã đi vòng qua bao nhiêu địa chỉ trung gian. Cơ sở dữ liệu ngừng hoạt động thì mọi thứ đều ngừng.
Sổ cái của $BTC đã công khai ngay từ ngày đầu tiên; ai cũng có thể tải toàn bộ dữ liệu về và tự tính toán. Mô hình kinh doanh này tồn tại được chính là vì sổ cái công khai, còn những người diễn giải sổ cái thì không.
Trong danh sách khách hàng của công ty có Microsoft, Barclays, và cả sàn giao dịch $COINB . Họ không bị mất thứ gì; thứ bị mất là mảnh giấy của nhà cung cấp.
Bitcoin ở mức 75774. Cả ngày chẳng có gì đáng kể. Những chuyện kiểu này chưa bao giờ thể hiện trên biểu đồ K-line; chúng xuất hiện trong chữ ký tuân thủ tiếp theo. Tôi nghĩ thứ đắt giá nhất không phải dữ liệu.
Nếu một doanh nghiệp bán lời hứa «tôi có thể chỉ ra khoản tiền này thuộc về ai», thì tài sản đắt giá nhất là việc chưa từng có ai xâm nhập. Cơ sở dữ liệu chỉ đứng thứ hai. Trớ trêu thay, tài sản ấy lại không có bản sao lưu. Không thể khôi phục.
Bất kỳ hoạt động kinh doanh nào biến sự tin cậy thành thứ để bán dưới danh nghĩa một công ty, sớm muộn gì cũng sẽ gặp chuyện đúng ở điểm này.
Vì sổ cái có thể công khai, còn chìa khóa thì chỉ có thể khóa trong một căn phòng.
Một công ty chuyên giúp mọi người tìm xem «khoản tiền này đã đi đâu» đã làm mất hết chìa khóa của tất cả khách hàng. Họ tên, tên người dùng, mã băm mật khẩu, cùng cả những token đăng nhập còn hiệu lực. Tất cả khách hàng, không sót một ai.
Điều thực sự rắc rối nằm ở bốn chữ cuối. Token.
Mã băm mật khẩu thì phải giải, còn token thì không cần. Đó là mảnh giấy máy chủ đưa cho bạn ngay khi bạn đăng nhập thành công. Ai cầm mảnh giấy ấy thì chính là bạn; không cần bẻ khóa, không cần đoán, mà nó vẫn còn hiệu lực.
Chuyện xảy ra vào tháng Mười. Thông báo đầu tiên được đưa ra hôm 30, nói rằng chỉ có những thông tin không nhạy cảm theo cách gọi của họ như mã số, họ tên, email bị lộ. Qua một cuối tuần, cuộc điều tra mở rộng phạm vi ra toàn bộ dữ liệu, nhưng đến thứ Tư họ mới đổi lời.
Vì sao hai ngày đó họ không nói gì? Công ty chẳng giải thích gì cả. Họ chỉ nói một câu: đã tìm ra và khắc phục lối vào của cuộc tấn công. Lối vào ở đâu, đến giờ vẫn chẳng ai biết. Thế mà gọi là giải trình sao?
Sau đó, họ thẳng tay dừng một nửa hoạt động kinh doanh. Trang đăng nhập, bảng điều khiển theo dõi, giám sát giao dịch, sàng lọc địa chỉ — tất cả đều ngừng hoạt động cùng lúc. Quy trình khôi phục là trước tiên phải gửi IP tĩnh của công ty để đưa vào danh sách cho phép, rồi sau khi vào được thì bắt buộc đổi mật khẩu và luân chuyển khóa.
Nhiều người nghĩ phân tích trên chuỗi vốn dĩ an toàn, vì sổ cái công khai mà. Chỉ có sổ cái là công khai. Máy chủ đăng nhập vốn không nằm trên chuỗi; nó ở trong một trung tâm dữ liệu, và ai đã vào đó thì đều được ghi trong nhật ký.
Khi lệnh rút tiền mã hóa của bạn bị chặn, hoặc bị yêu cầu bổ sung giấy tờ, việc đánh giá đó chưa chắc hoàn toàn do sàn giao dịch tự thực hiện. Những công ty kiểu này thực chất bán một bộ cơ sở dữ liệu gắn nhãn: địa chỉ nào thuộc về ai, khoản tiền nào đã đi vòng qua bao nhiêu địa chỉ trung gian. Cơ sở dữ liệu ngừng hoạt động thì mọi thứ đều ngừng.
Sổ cái của $BTC đã công khai ngay từ ngày đầu tiên; ai cũng có thể tải toàn bộ dữ liệu về và tự tính toán. Mô hình kinh doanh này tồn tại được chính là vì sổ cái công khai, còn những người diễn giải sổ cái thì không.
Trong danh sách khách hàng của công ty có Microsoft, Barclays, và cả sàn giao dịch $COINB . Họ không bị mất thứ gì; thứ bị mất là mảnh giấy của nhà cung cấp.
Bitcoin ở mức 75774. Cả ngày chẳng có gì đáng kể. Những chuyện kiểu này chưa bao giờ thể hiện trên biểu đồ K-line; chúng xuất hiện trong chữ ký tuân thủ tiếp theo. Tôi nghĩ thứ đắt giá nhất không phải dữ liệu.
Nếu một doanh nghiệp bán lời hứa «tôi có thể chỉ ra khoản tiền này thuộc về ai», thì tài sản đắt giá nhất là việc chưa từng có ai xâm nhập. Cơ sở dữ liệu chỉ đứng thứ hai. Trớ trêu thay, tài sản ấy lại không có bản sao lưu. Không thể khôi phục.
Bất kỳ hoạt động kinh doanh nào biến sự tin cậy thành thứ để bán dưới danh nghĩa một công ty, sớm muộn gì cũng sẽ gặp chuyện đúng ở điểm này.
Vì sổ cái có thể công khai, còn chìa khóa thì chỉ có thể khóa trong một căn phòng.
