Segurança da Informação

(1)

1

Departamento de Engenharia de Telecomunicações – TET/UFF

Universidade Federal Fluminense

Segurança da Informação

Blockchain – Corrente de Blocos

Prof. Diogo Menezes Ferrazani Mattos menezes@midiacom.uff.br

Sala 421 – Bloco E

(2)

2

Revisão

• Criptografia Simétrica

– DES – 3-DES – AES

• Criptografia Assimétrica

– Algoritmo RSA

• Chave pública (n,e)

• Chave privada (n,d)

• Troca de Chaves

– Diffie-Hellman

(3)

3

Revisão

• RSA vs. Diffie-Helman

– Quais requisitos de segurança?

– Por que cada um é seguro?

– Onde usar?

• Autoridade Certificadora

– Cadeia de confiança

(4)

4

Blockchain Overview

Blockchain technology is a digital innovation that is poised to significantly alter financial markets within the next few years,

within a cryptographic ecosystem that has the potential to also significantly impact trusted computing activities and

therefore cybersecurity concerns as a whole.

Fonte: https://www.isaca.org/chapters3/Charlotte/Events/Documents/Event%20Presentations/06072017/

Blockchain%20Presentation%20to%20ISACA%20(Kemp).ppt

(5)

5

Início da Tecnologia

• Tecnologia Blockchain é introduzida no whitepaper:

“Bitcoin: A Peer-to-Peer Electronic Cash System,” de Satoshi Nakamoto em 2008

– Não é baseada em confiança – Assinaturas digitais

– Redes par-a-par

– Prova de Trabalho  Proof-of-Work (PoW) – Histórico público de transações

– Nós honestos independentes controlam a maior parte do poder computacional da rede

– Nós votam com poder computacional

– Regras e incentivos garantidas pelo mecanismo de consenso

Fonte: https://bitcoin.org/bitcoin.pdf

(6)

6

Resumo de Criptomoedas

• Bitcoin  primeira moeda digital, i.e., criptomoeda

• Máximo de bitcoins que podem ser geradaos

– 21 milhões

• Investimento energético para solucionar problemas matemáticos complexos para ganhar bitcoins

– Similar ao processo de mineração no mundo real

• Indexação de mais de 4.220 criptomoedas

– https://www.cryptocoincharts.info/coins/info

• Mais populares: Bitcoin, Ethereum, Litecoin

(7)

7

A Tecnologia Bitcoin

• Bitcoin  um ativo eletrônico

– Moeda digital  criptomoeda

• Redes de computadores par-a-par

– Manutenção de traços de pagamentos em Bitcoin

– Inserção das transações em uma lista de pagamentos sempre crescente de todas as transações realizadas

• “The Bitcoin Blockchain”

• ”Ledger” ou Livro Razão  arquivo que contém todas as transações Bitcoin

• Valor do Bitcoin é criado através do processamento de transações (mineração) realizado por processadores distribuídos chamado de ”nós” de uma rede par-a-par

Fonte: A Gentle Introduction to Bitcoin by Antony Lewis

https://bravenewcoin.com/assets/Reference-Papers/A-Gentle-Introduction/A-Gentle-Introduction-To-Bitcoin-WEB.pdf

(8)

8

Evolução da Mineração

• Processo pelo qual o valor é criado através do processamento que ocorre nos nós da rede

• 2009: 200 Bitcoins podiam ser minerados em um computador pessoal em casa

• 2015: levaria 98 years para minerar apenas 1 Bitcoin em um computador pessoal

• Atualmente: praticamente impossível minerar bitcoins usando computadores pessoais em casa

– ASIC (Application Specific Integrated Circuit) projetados estritamente para mineração de bitcoins

– Grupos de mineradores formando pools de mineração, cada um é pago por sua parcela relativa para a contribuição no trabalho realizado

(9)

9

(10)

10

Pools de Mineração

Fonte: https://blockchain.info/pt/pools

Mineração: https://www.youtube.com/watch?v=2kvTaG-1xLM

(11)

11

(12)

12

Três níveis de Blockchain

1. Armazenamento de ativos/registros digitais 2. Troca de ativos digitais (tokens)

3. Execução de contratos inteligentes

– Regras básicas – Termos & condições armazenadas em código

– Execução dos contratos e monitoração da adequação ao contrato distribuídas na rede

– Resultados são automaticamente validades sem participação de uma terceira entidade

Fonte: Tech Trends 2017, The Kenetic Enterprise, “Blockchain: Trust economy”, Deloitte University Press, 2017

(13)

13

Discussão sobre Tokens

• Uso mais amplo suportado pela infraestrutura digital introduzida pelo Bitcoin  tokens

• Token pode ser definido como:

– “ativo digital escasso baseado na tecnologia subjacente inspirada pelo Bitcoin”

• Tokens distintos podem usar bases de código similares, mas diferentes bases de dados blockchain

• Ethereum foi inspirado pelo Bitcoin, mas tem seu próprio

blockchain e foi projetado para ser mais programável. Tokens podem ser emitidos no topo do blockchain Ethereum.

• Compradores de tokens estão comprando chaves privadas, que são semelhantes às chaves da API, mas podem ser transferidas para outras partes sem o consentimento

Fonte: “Thoughts on Tokens”, Balaji S. Srinivasan and Naval Ravikant

(14)

14

Discussão sobre Tokens

• Os tokens têm um valor e um preço

• Os tokens são um novo modelo de tecnologia e podem ser uma alternativa ao financiamento baseado em capital

• Os tokens não diluem o capital  introduzem um enorme aumento na base de compradores e no tempo para liquidez

• Lançamentos de tokens diferem das vendas de ações; no entanto, eles podem ser emitidos como uma maneira de compartilhar lucros

• Tokens podem ser vendidos internacionalmente pela Internet e estão sempre abertos para negócios

• Tokens descentralizam o processo de financiamento da tecnologia

(15)

15

Discussão sobre Tokens

• Os tokens permitem um novo modelo de negócios

• Os tokens acomodam a custódia imediata sem um intermediário

• Os tokens podem ser estendidos ao hardware, como parte da Internet das Coisas

(16)

16

Contratos Inteligentes Smart Contracts

Os protocolos de consenso são fundamentais para

determinar a sequência de ações resultantes do código do contrato.

Isso permite a negociação par-a-par de tudo, desde energia renovável até reservas automatizadas de quartos de hotel.

Sistemas de pagamento clássico são movimentam de 18 trilhões de dólares por ano

Fonte: “Contracts Get Smarter with Blockchain”, CIO Journal, The Wall Street Journal, World Trade Organization, International Trade Statistics 2015, 2015, p. 41.

(17)

Fonte: https://medium.com/hyperlegendary/6-blockchain-frameworks-to-build-enterprise-blockchain-how-to-choose-17

them-2b7d50ba275c

(18)

18

• O Hyperledger é um esforço colaborativo de código aberto criado para promover as tecnologias de blockchain de vários setores.

– Colaboração global, hospedada pela The Linux Foundation, incluindo líderes em finanças, bancos, IoT, cadeia de

suprimentos, manufatura e tecnologia.

• Arcabouços de blockchain de empresas são hospedados com o Hyperledger.

• Hyperledger aborda recursos importantes para um padrão aberto de vários setores para livros-razão distribuídos.

• A Fundação Linux hospeda o Hyperledger como um projeto colaborativo sob a fundação.

Hyperledger

Fonte: https://www.hyperledger.org/.

(19)

19

Hyperledger Projetos

• Alguns dos projetos do Hyperledger incluem:

– Hyperledger Burrow - Máquina de contrato inteligente permissionada com um cliente blockchain modular,

construído em parte com as especificações da Ethereum Virtual Machine (EVM)

– Hyperledger Fabric - Fundação para o desenvolvimento de soluções plug-and-play dentro de uma arquitetura modular – Hyperledger Iroha - Estrutura de blockchain simples e fácil

projetada para ser incorporada em projetos de infraestrutura que exigem tecnologia de contabilidade distribuída

– Hyperledger Sawtooth - Uma plataforma modular para construir, implantar e executar livros-razão distribuídos

(20)

20

Hyperledger Projetos

• Alguns dos projetos do Hyperledger incluem:

– Hyperledger Burrow - Máquina de contrato inteligente permissionada com um cliente blockchain modular,

construído em parte com as especificações da Ethereum Virtual Machine (EVM)

– Hyperledger Fabric - Fundação para o

desenvolvimento de soluções plug-and-play dentro de uma arquitetura modular

– Hyperledger Iroha - Estrutura de blockchain simples e fácil projetada para ser incorporada em projetos de infraestrutura que exigem tecnologia de contabilidade distribuída

– Hyperledger Sawtooth - Uma plataforma modular para construir, implantar e executar livros-razão distribuídos

(21)

21

Ethereum Alliance

• Ethereum  plataforma descentralizada que executa contratos inteligentes

– Aplicativos são executados exatamente como programados, sem qualquer possibilidade de tempo de inatividade,

censura, fraude ou interferência de terceiros

• The Ethereum project  inicado através de uma pré-

venda de éter (ether) durante agosto de 2014 por fãs de todo o mundo

– Desenvolvido pela Ethereum Foundation, uma instituição suíça sem fins lucrativos, com contribuições de indivíduos e organizações em todo o mundo

Fonte: https://www.ethereum.org.

(22)

22

Ethereum Tools

• Diversas ofertas do Ethereum

– The Ethereum Wallet  gateway para aplicativos descentralizados no blockchain Ethereum

• Permite que os usuários mantenham e protejam os recursos de ether e outros cripto-ativos construídos na Ethereum, bem

como escrevam, implantem e usem contratos inteligentes

– Projetar e emitir seu próprio token/criptomoeda rastreável – Kickstart a project with Crowdsale

• Espécie de crowdfounding  venda antecipada de tokens

(23)

23

O que é Ether?

• Ether  cripto-combustível para a rede Ethereum

– Elemento necessário para operar a plataforma de aplicativos distribuídos Ethereum

– Forma de pagamento feita pelos clientes da plataforma para as máquinas que executam as operações solicitadas

• O incentivo que garante que os desenvolvedores escrevam aplicativos de qualidade e que a rede permaneça saudável

• A oferta total de ether e sua taxa de emissão foram decididas pelas doações coletadas na pré-venda de 2014

• Desenvolvedores que pretendem criar aplicativos que usarão o blockchain da Ethereum  Ether  Combustível

• Usuários que desejam acessar e interagir com contratos

inteligentes no blockchain da Ethereum  Ether  Combustível

(24)

24

Críticas e Desafios

• Tecnologia nascente

• Estágio regulatório incerto

• Grande consumo de energia

• Controle, segurança e privacidade

– Controle distribuído?

• Preocupações de integração

• Adoção cultural

• Custo

• Desafios associados à auditoria, impostos e conformidade

Fonte: Creating Assurance in Blockchain, Volume 2, 2017, by A. Michael Smith Deloitte’s Blockchain technology:

9 benefits & 7 challenges,

https://www2.deloitte.com/nl/nl/pages/innovatie/artikelen/blockchain-technology-9-benefits-and-7-challenges.htmlc

(25)

25

Segurança da Informação

Blockchain – Corrente de Blocos

(26)

26

Original Presentation

Amy Kemp, CISA, CRISC, CISSP

Email: Amy.Kemp@elliottdavis.com Phone: 980.201.3174

Website: www.elliottdavis.com

Elliott Davis Decosimo provides comprehensive assurance, tax and consulting solutions to diverse businesses, organizations and individuals. With a network of forward-thinking professionals in major U.S. markets and alliance resources across the globe, the firm ranks among the top 30 and fastest-growing accounting firms in the U.S. Visit

elliottdavis.com for more information.

(27)

27

Mecanismos para Blockchain

Fonte: Terence Spies, Crypto Geek, HPE

(28)

28

Revisão

• Conceitos principais

– Blockchains – Bitcoin

– Smart contracts

(29)

29

Onde entra a tecnologia Blockchain ?

Client Client

Cliente Cliente Base de Dados Base de Dados

Regras de Validação Regras de

Validação

• Proteção de acesso de escrita em uma base de dados autorativa

• Transações, marcação de estampa de tempo, contratos etc.

(30)

30

Fonte: Wust, K. and Gervais, A. (2017). Do you need a ¨ blockchain? IACR Cryptology ePrint Archive, 2017:375.

https://eprint.iacr.org/2017/375.pdf

(31)

31

Onde entra a tecnologia Blockchain ?

Client Client

Cliente Cliente Base de Dados Base de Dados

• Controle de acesso autorativo substituído por consenso distribuído

• Estado da base de

dados depende então do acordo da maioria da

validade da atualização

Validador Validador

Validador

Validador ValidadorValidador

(32)

32

Por que usar Blockchain ?

• Contole autoritativo funciona bem

• Consenso distribuído permite

– Partes que não confiam umas nas outras mantém o estado da base de dados consistente

– Regra de validação completamente não-ambiguas – Remocação da autenticação e da identificação como

essenciais

– Outros vantanges…

(33)

33

Revisão de Criptografia

• Conceito de criptografia são os conceitos principais da blockchain e bitcoin

– Não entender os conceitos pode levar a intuições erradas sobre o potencial da tecnologia

– Dois conceitos principais

(34)

34

Conceito #1: Hashes

• Uma função hash (como SHA-256) recebe um bloco de dados como entrada e produz um valor inteiro de saída efetivamente aleatório para a entrada

• Qualquer mudança na entrada leva a outro novo valor aleatório

SHA-256 SHA-256

“The quick brown fox did some crypto”

410312395834291203…

SHA-256 SHA-256

“The quick brown Fox did some crypto”

983249120432492340…

(35)

35

Prova de Trabalho baseada em Hash

• Não é possível computar a entrada a partir da saída

• Encontrar um hash com N zeros no início para uma entrada requer O(2^N) computações… prova trabalho computacional

• Se calculamos o hash para um “nonce” incremental como entrada, podemos ir procurando por zeros:

in 3e-05 seconds, nonce = 0 yielded 0 zeros. value = 4c8f1205f49e70248939df9c7b704ace62c2245aba9e81641edf…

in 0.000138 seconds, nonce = 12 yielded 1 zeros. value = 05017256be77ad2985b36e75e486af325a620a9f29c54…

in 0.000482 seconds, nonce = 112 yielded 2 zeros. value = 00ae7e0956382f55567d0ed9311cfd41dd2cf5f0a7137…

in 0.014505 seconds, nonce = 3728 yielded 3 zeros. value = 000b5a6cfc0f076cd81ed3a60682063887cf055e47b…

in 0.595024 seconds, nonce = 181747 yielded 4 zeros. value = 0000af058b74703b55e27437b89b1ebcc46f45ce55d6….

in 3.491151 seconds, nonce = 1037701 yielded 5 zeros. value = 00000e55bd0d2027f3024c378e0cc511548c94fbeed0e….

in 32.006105 seconds, nonce = 9913520 yielded 6 zeros. value = 00000077a77854ee39dc0dc996dea72dad8852afbde6….

in 590.89462 seconds, nonce = 186867248 yielded 7 zeros. value = 0000000225060b16117b23dbea9ce6be86ac439d….

in 4686.171007 seconds, nonce = 1424462909 yielded 8 zeros. value = 000000002dd743724609a9f57260e2492908d….

A busca pode ser realizada de forma

distribuída

(36)

36

Jogo #1: A Corrida pelo Encadeamento

• Um parâmetro N define a dificuldade da prova de trabalho

• Participantes recebem uma lisa de blocos com:

– Número do bloco

– Número do ganhador – Valor do Nonce

– Hash do bloco anterior

– Hash do bloco atual com N zeros no início

• Participantes acumulam pontos criando novos blocos

– Calcular Hash do bloco anterior

– Encontrar o hash para o bloco atual com um número suficiente de zeros

– Transmitir o novo bloco para todos os outros participantes

(37)

37

Jogo #1: A Corrida pelo Encadeamento

Block #0 Block #0 Winner

Winner nobodynobody Parent_hash

Parent_hash 00 Nonce

Nonce 00

Winner Player 23Player 23 Parent_hash

Parent_hash 000D45698000D45698 Nonce

Nonce 34593459

SHA-256 SHA-256

Winner Player 16Player 16 Parent_hash

Parent_hash 000F67839000F67839 Nonce

Nonce 974329974329 SHA-256

SHA-256

(38)

38

O Nonce / Hash Loop

• O algoritmo para criar um novo bloco

1. Verifica o hash de todos os blocos anteriores 2. Cria um novo bloco com um nonce aleatório 3. Calcula o hash do novo blco. Contém N zeros?

– Não? Volte para a etapa 2

– Sim? Envia o novo bloco para todos

• Note que como um resultado da etapa 1, você consegue descobrir quantos pontos cada participante tem contando quantos blocos eles ganharam (criaram)

(39)

39

Qual é a dificuldade do jogo?

• Para N zeros, como a saída do SHA-256 é efetivamente aleatória, obter bits em zero = mesmo que jogar uma moeda N vezes e obter N caras seguido

• Para N zeros, tem que tentar 2^N/2 nonces…

– N=1 …. Tenta 1 nonce

– N = 16 … Tenta 32768 nonces

– N = 32 … Tenta bilhão de nonces

• Ganhar o bloco mostra que o participante realizou o trabalho

(40)

40

E os trapaceiros?

• Trapacear: criar o um hash falso!

• O que acontece?

– Etapa 1 do algoritmo vai falhar para todos os outros participantes

– Outros participantes não vão usar o bloco, deixando for a da blockchain

(41)

41

Conceito #2: Assinaturas

Signing key Signing key Public part

Public part 454F4D3E1..454F4D3E1..

Private part

Private part 56F23F2D..56F23F2D..

Data

Data Signing

AlgorithmSigning

Algorithm SignatureSignature Private part

Private part

Signature

Signature Verification Algorithm Verification

Algorithm Yes/NoYes/No Public part

Public part Data

Data

(42)

42

Transferindo pontos

Trade #8423 Trade #8423 From

From Public_key1Public_key1 To

To Public_key2Public_key2 Amount

Amount 50 points50 points SIgnature

SIgnature 345349354345349354 Trade #8424

Trade #8424 From

SIgnature 734589345734589345

ID do participante = chave pública Podemos transferir pontos assinando mensagens e enviando para todos

Transferências assinadas são:

• Inalteráveis

• Verificáveis por qualquer um

• De chave para chave, não estão ligadas a nenhuma identidade real

(43)

43

Jogo #2 – A Corrida com Transferências

Block #0 Block #0 Winner Key

Winner Key nobodynobody Parent_hash

Parent_hash 00 Nonce

Nonce 00

Block #1 Block #1 Winner Key

Winner Key 045F45F…045F45F…

Parent_hash

Parent_hash 000D45698000D45698 Nonce

Nonce 34593459 Block #2

Block #2 Winner Key

Winner Key 8234DB4…8234DB4…

Parent_hash

Parent_hash 000F67839000F67839 Nonce

Nonce 34593459

Trade #8423 Trade #8423 From

SIgnature 345349354345349354 Trade #8424

Trade #8424 From

SIgnature 734589345734589345

(44)

44

Trapaceando

• Não é possível alterar as transferências, mas um

participante mal intensionado pode transferir mais pontos do que ele tem para cobrir

• “Overtrading” não resolvível, pois não temos um valor absoluto de uma fonte inalterável de tempo

• Vai ser resolvido no Jogo #3…

– Ideia Chave: Colocar as transferências dentro dos blocos

(45)

45

Jogo #3 – Sem trapaça social

Block #2 Block #2 Winner_key

Winner_key 6B34C03…6B34C03…

Parent_hash

Parent_hash 004539A3F004539A3F Nonce

Nonce 5469554695

From

SIgnature 345349354345349354 Trade #5

Trade #5

Trade #6 Trade #6

…

(46)

46

Jogo #3: Mecanismo

• Participantes fazem esforços para ganhar pontos

• Participantes podem transferir pontos com segurança

– Assinaturas previnem a alteração das transferências – Assinaturas autenticam a origem das transferências

• Participantes são capazes de detectar ”overtrading”

– Participantes vão negar extender o jogo para blocos com

”overtrading”

– Se permitirem a entrada de blocos com overtrading, estarão gastantando esforços, já que outros participantes não vão permitir a entrada do bloco na cadeia

(47)

47

Jogo #3: Problemas

• Por que os participantes vão querer colocar transações nos blocos?

• Taxa por transação

– Incentivo aos participantes para adicionar transações nos blocos dando a eles pontos por transações adicionadas – Dois modos de ganhar pontos

• Não há limitação de transferência de pontos somente entre participantes

– Participantes podem mandar pontos para qualquer um com uma chave pública

– Agora é um sistema global de transações

(48)

48

Jogo #4 –Bitcoin Simplificado

• Participantes = “mineradores”, pontos = “bitcoins”

• Transações enviam valores (bitcoins) de chave para chave

• O jogo da corrida (blockchain) previne o gasto maior que a quantia atual sem uma autoridade central

• Regras do jogo = nó de código bitcoin, muda por consenso entre mineradores

• Consenso entre participantes substitui autoridade

– Número de moedas (limitado a 21 milhões) – Recompensa por bloco

– Como a dificuldade cresce

(49)

49

Transição para transações

• Note que os participantes/mineradores podem interagir com não-participantes

• Uma vez que um ponto é criado, o participante que o recebe pode criar uma transação para qualquer chave pública

• Agora é possível extender as transferências para participantes que não são mineradores

• Todos os pontos continuam sendo gerados por algum bloco/minerador

(50)

50

Anatomia de um bloco

(from blockchain.info, a great resource for bitcoin info)

(51)

51

Transações de um bloco

(52)

52

Onde estão as regras?

• As regras do Bitcoin (ou qualquer blockchain) estão nos nós mineradores

– Qualquer 51% que estão executando vão ganhar

• As regras são o código do nó

• Como trocar as regras?

• O que acontece

– Se quebrarem a criptografia?

– Se quiserem adicionar mais moedas?

– Se quiserem trocar o formato dos blocos?

(53)

53

Ataques

• O que acontece se a maioria dos participantes atacarem?

– Ataque do 51%

• Pode adicionar blocos ruins à cadeia

• Pode vetar a entrada de blocos corretos

• O quão grande precisa ser o ataque?

– Dependendo da rede pode ser de 30% ou menos – Sybil attacks

(54)

54

Realidades Operacionais

• Assume armazenamento barato e rede

– Nós armazenam todas as transações já realizadas – Transações e blocos são transmitidos em difusão – Pode limitar a escala

• Transações são lentas

– Para verificar uma transação, tem que esperar um bloco público

• Controle de chaves privadas é crucial

– Perda da chave privada = moedas não podem ser gastas – Roubo da chave privada = Roubo das moedas

– Lista negra de chaves quebram o jogo

• Construção de um controle central

(55)

55

Bitcoin Atual

• Poder computacional

– Poder de cálculo de hash globla passa de 10 Exahash/sec – 10,000,000,000,000,000,000 SHA-256 ops/sec

• Quantas transações por dia

– Aprox 200.000 Transações/Dia

– About 1.000.000 BTC movimentados/Dia

• 1 BTC =~ R$ 29.036,30

(56)

56

Petahash Minerador

Hashnest.com

(57)

57

Criptografia por Hardware

Keepkey.com

(58)

58

Além Bitcoin

• As transações não precisam ser apenas transações

– As transações podem conter:

• Código executável

− Na verdade, as transações do BTC são scripts

− Scripts especificam quando as saídas podem ser gastas

• Contratos

− Definir condições para permitir que as saídas se movam

• Dados aleatórios a serem marcados com data e hora

− "Moedas coloridas" - adicionar dados a uma transação

− A transação registrada pode ser um hash de um documento ou outros dados externos

(59)

59

Cadeias Privadas

• Mude o jogo para exigir blocos assinados

• Limite mineiros a algum conjunto autorizado

• Útil para adicionar outras regras ou impedir bloqueios/sequestros

• Abordagem sendo usada para negociar títulos em uma blockchain

• O mesmo mecanismo de criptografia se aplica…

(60)

60

Para mais informações

• Blockchain.info – Visualização da Cadeia do Bitcoin

• Ethereum.org – Programação em Blockchain

• Hyperledger.org – Padrões de Blockchain

• R3CEV.com – Consórcio de bancos para Blockchain

• Bank of England Distributed Ledgers

– http://www.bankofengland.co.uk/banknotes/Pages/digitalcur rencies/default.aspx

(61)

61