A tranzakciókat bonyolult ugyan visszakövetni, de közel sem lehetetlen. A Princeton Egyetemen alapos kutatást végeztek.

Dolgozik a Princetonon egy PhD-hallgató, bizonyos Steven Goldfeder, akinek az eddigi publikációi két területre koncentráltak: a titkosításra és a bitcoin technológiai kérdéseire. Legutóbb három kollégájával egy olyan témát vizsgáltak, amelynek néhány elemét már az évtized elején lehetett tudni: a bitcoin-tranzakciók egyáltalán nem biztosítanak tökéletes anonimitást. (A cikk innen tölthető le.)

A könyvelés nyilvános

Ez eddig is köztudott volt, hogy a bitcoin elosztott főkönyve, a blockchain nyilvános, pontosabban a hálózat minden tagja láthat minden egyes tranzakciót. Ezzel persze még nem sok mindent lehet kezdeni, mivel a tranzakciókban a címeket, azaz hogy honnan hova ment a pénz, pszeudonimizált számsorok jelzik, melyekben nem utal semmi a cím tulajdonosára. Ha valaki azonban kellő energiát és szürkeállományt fektet hálózatelemzésbe és netes kutakodásba, találhat olyan tranzakciót, amelynek címe valahogy összeköthető egy valós személlyel. Ennek az információnak a birtokában esetleg visszafejthető az adott személlyel tranzakciókat folytatók személyazonossága is és így tovább.

Ennek azonban van ellenszere: a bitcoinnal kapcsolatos tanácsadó oldalak azt javasolják, hogy minden egyes tranzakcióhoz új címet kell használni. Csakhogy ez sem ad tökéletes védelmet. Ha veszünk bitcoint, az megérkezik a címünkre. De amikor ezzel a bitcoinnal fizetünk például egy online boltban, nem használhatunk más címet, csak azt, amihez a bitcoin-vásárlásunk kötődött. Azaz ha valaki erre utazik, ismét komoly munkával, de visszafejtheti, hogy ki áll az adott tranzakciók mögött, tehát újra oda az anonimitás.

Van még a pénztárca-szolgáltatások kínálta lehetőség. Ezzel az a gond, hogy csak a sok ügyféllel rendelkező szolgáltató tud elfogadható mértékű garanciát adni a névtelenségre. Emellett kockázatos is ilyen szolgáltatást használni, mert ha eltűnik a szolgáltató, megy vele a pénz is... És ez időnként meg is történik.

A cookie-k eleve túl árulkodóak

Ezek a módszerek azonban nehézkesek, sokszor óriási technológiai hátteret és tudást feltételeznek. Amit Goldfeder és társai kikutattak, az ennél sokkal egyszerűbb. A weboldalak a felhasználóknak rendszeresen küldenek úgynevezett cookie-kat, azaz HTTP-sütiket. A cookie-k épp arra szolgálnak, hogy az egy kliensről érkező különböző HTTP-kéréseket összekapcsolják. Egy vásárlásnál ezzel a módszerrel könnyű nyilvántartani egy több tételes bevásárlási folyamatnál a kosarat, illetve cookie-k segítségével vizsgálják a felhasználók szokásait, hogy pontosabban targetálhassák a hirdetéseket stb.

Goldfederék ezen a nyomon indultak el. Azt feltételezték ugyanis, hogy a websopok a cookie-k révén olyan adatokat szivárogtatnak a vásárlóiktól, hogy azok akkor sem tudják megőrizni az anonimitásukat, ha annak érdekében bitcoinnal fizetnek.

Így működik az adatszivárgás a bitcoinos vásárlási tranzakcióknál

(Forrás: Goldfeder [et. al.])

Megvizsgáltak 130 webshopot – köztük volt többek között a Microsoft, a NewEgg és az Overstock is –, melyeken lehet bitcoinnal fizetni. 53 olyan webshopot találtak, amely valamilyen fizetési információt szivárogtatott összesen 40 harmadik félnek. Ezek még nem is kellene adatszivárgásnak nevezni: itt voltaképpen szándékos adatgyűjtésről van szó analitikai és reklámozási célokra.

Már csak össze kell kapcsolni más adatokkal

Emellett azonban találtak arra utaló jeleket, hogy az oldalakról kiszivárognak – valószínűleg egyáltalán nem szándékosan – olyan információk is több tucatnyi tranckerhez, amikből a blockchain-tranzakciók mögött állók azonosíthatók a cookie-kból kinyert infókkal összekapcsolva.

Ilyen adat például a vásárlás ideje és összege. Mivel az websopokban az árak nem bitcoinban vannak megadva, amikor a vásárló fizet, a webshop rendszere az abban a pillanatban érvényes árfolyamon konvertálja a bitcoint a boltban használt pénznemre. Az időpontból, a tranzakció nagyságából és az akkor érvényes árfolyamból már némi munkával visszakövethető a vásárló címe, és onnan már ismét életbe lép valamelyik fenti forgatókönyv.

Persze nagyon sok tényező van, ami ezt a visszakövetést nehezíti. Például ha csak a termékár szivárog ki, de a kiszállítási költség nem, vagy ha az oldal megnézésének időpontja kapcsolódik a bitcoinnal történő fizetéshez, máris lényegesen nehezebb a tranzakciót beazonosítani. De ezek csak nehezítik a feladatot, lehetetlenné nem teszik. Az esetek többségében valós értékei vannak ezeknek a kiszivárgott adatoknak.

Még a CoinJoin jellegű szolgáltatások sem segítenek

Van egy 2013-ban bevezetett metódus arra, hogy további védelmet nyújtson a kriptovalutákkal fizetők anonimitásának megőrzésére: a CoinJoin. A Gregory Maxwell által kidolgozott eljárásnak az a lényege, hogy aki bitcoinnal akar fizetni, keressen egy másik embert, aki szintén vásárolna. Tegyék a vételárat egy közös helyre, keverjék össze a bitcoinjaikat, és fizessenek együtt. Így aki a vásárlást nyomon akarja követni, csak eddig az pontig tudja visszafejteni, hiszen ott már nem azonosítható, hogy melyik bitcoin melyik tranzakcióhoz tartozott, azaz ki mit vásárolt. (Most tekintsünk el attól a problémától, hogy itt fellép ugyanaz, ami az e-pénztárca jellegű szolgáltatásoknál.)

Goldfederék kutatása szerint viszont, ha valaki háromszor használja a CoinJoin eljárást a vásárlásához, és abból kettőnek az adatait meg tudja valaki szerezni, akkor abból már 98 százalékos pontossággal visszafejtheti a vásárló személyét.

Biztonság

MI-vel védenék a britek az internetre szabadított óvodásokat

Az illetékes hatóság felmérése szerint egyre több kisgyerek jelenik meg a világhálón, akiknek a szülei is egyre nagyobb szabadságot engednek a digitális térben.
 
Hirdetés

Adathelyreállítás pillanatok alatt

A vírus- és végpontvédelmet hatékonyan kiegészítő Zerto, a Hewlett Packard Enterprise Company platformfüggetlen, könnyen használható adatmentési és katasztrófaelhárítási megoldása.

Hol, milyen adatokat és hányszorosan tároljunk ahhoz, hogy biztonságban tudhassuk szervezetünk működését egy nem várt adatvesztési incidens esetén is?

a melléklet támogatója az EURO ONE Számítástechnikai Zrt.

CIO KUTATÁS

TECHNOLÓGIÁK ÉS/VAGY KOMPETENCIÁK?

Az Ön véleményére is számítunk a Corvinus Egyetem Adatelemzés és Informatika Intézetével közös kutatásunkban »

Kérjük, segítse munkánkat egy 10-15 perces kérdőív megválaszolásával!

LÁSSUNK NEKI!

Amióta a VMware a Broadcom tulajdonába került, sebesen követik egymást a szoftvercégnél a stratégiai jelentőségű változások. Mi vár az ügyfelekre? Vincze-Berecz Tibor szoftverlicenc-szakértő (IPR-Insights) írása.

Nyílt forráskód: valóban ingyenes, de használatának szigorú szabályai vannak

Különösen az early adopter vállalatoknak lehet hasznos. De különbözik ez bármiben az amúgy is megkerülhetetlen tervezéstől és pilottól?

Sok hazai cégnek kell szorosra zárni a kiberkaput

Ön sem informatikus, de munkája során az információtechnológia is gyakran befolyásolja döntéseit? Ön is informatikus, de pénzügyi és gazdasági szempontból kell igazolnia a projektek hasznosságát? Mi közérthető módon, üzleti szemmel dolgozzuk fel az infokommunikációs híreket, trendeket, megoldásokat. A Bitport tizennegyedik éve közvetít sikeresen az informatikai piac és a technológiát hasznosító döntéshozók között.
© 2010-2024 Bitport.hu Média Kft. Minden jog fenntartva.