【3分でわかる！仮想通貨用語】脆弱性(ETH、ウォレットの例も)・リソース・スループット・デプロイ

2019/03/14

こんにちは、Makiです！( ﾟДﾟ)

今回は、仮想通貨に関する用語解説♪

よく聞くけど……何言うてるん…系の用語をひとつずつ解説していきます！(‘ω’)ノ

特に、仮想通貨ではホワイトペーパーを読んでいるとき、技術を解説している場面でよく登場する言葉たちを見ていきましょう♪

脆弱性
- 仮想通貨の脆弱性アレコレ～イーサリアム～
- 仮想通貨の脆弱性アレコレ～ハードウェアウォレット～
リソース
スループット
デプロイ

脆弱性

脆弱性(ぜいじゃくせい)と読みます。

よく「きじゃく」と読まれるのですが、違います(´・ω・｀)

脆弱性とは、コンピューターのソフトにおいて設計上のミスのせいで発生してしまう欠陥や、プログラムの不具合のことをいいます。

脆弱性があるままそのソフトが入ったコンピューターを使っていると、不正アクセスが起こってしまったり、ウイルス感染が起こりやすくなる可能性も…。

これを解決するために、ソフトウェアの「アップデート」が行われ、修正されるんですね！

仮想通貨の場合、ちょこちょこといろんなものに対して脆弱性が発見されています…(._.)

仮想通貨の脆弱性アレコレ～イーサリアム～

イーサリアムといえば、アップデートありきの仮想通貨。

イーサリアム(ETH)

アップデート(ハードフォーク)の中で脆弱性を発見、アップデート日時を延期する事態に。

特に2018年10月に行われる予定だった「コンスタンティノープル」というアプデにおいては、「リエントリー攻撃」への脆弱性が発覚し、延期せざるを得ないことに…。

※リエントリー(リエントラント)攻撃って？

イーサリアムが分裂するきっかけとなったThe DAO事件の攻撃と同じもの。
何度も繰り返し、トークンを送信させる(盗む)ことが可能になる攻撃です。

コンスタンティノープルを行う際に、またもやこの攻撃が仕掛けられる可能性があった(この攻撃が可能な状態、弱い状態だった)ということですね。

仮想通貨の脆弱性アレコレ～ハードウェアウォレット～

2019年3月、ハードウェアウォレットの超大手として知られるレジャー(Ledger)社が、公式ブログでこんな記事を発表しました(・ε・)

“Notably, about four months ago we contacted Trezor to share five vulnerabilities our Attack Lab uncovered. As always, we gave Trezor a responsible disclosure period to work on these vulnerabilities, even granting them two extensions.”

引用：レジャー公式ブログ

“(日本語訳)

約4か月前、我々はトレザー社に対し、私たちのラボが発見した5つの脆弱性を共有することを伝えました。また、我々はトレザーに対し、これらの脆弱性に取り組むための開示期間も設けました。”

レジャーにはセキュリティ関連の研究チームを持っており、セキュリティの脆弱性を明らかにするために、競合他社のデバイス(ウォレットとか)についても研究しています。

そこで得た情報を共有というかたちで公開したのが、上記のレポートです。

分析はトレザーの製品である「Trezor One」「Trezor T」を含み、トレザー側にその情報を提供。

トレザー側で修正(アップデート)が行われたこともあり、このたびレジャー側が「こんなことありました」とブログで公開した…ということですね。

見つかったという脆弱性はコチラ。

ウォレットの真正性

これが正規のものですよ！という意味。
レジャーによると、トレザーのウォレットは不正開封防止ステッカーを使っても、本物そっくりなデバイスを再パッケージできるとのこと。
つまり、パチモンを入れられてもわからない可能性がある＝真正性が確保できないということです。
(トレザーアップデートで修正済み)

PINコードの推測

そのデバイスを操作するために必要なカギの役割、PINコード。
分析の結果、なんとPINの値を推測することが可能だとわかったそう。
(トレザーアップデートで修正済み)

デバイス内のデータの機密性

デバイスへの物理的なアクセス権をもつ攻撃者が、メモリ内に保存されているデータを盗み出すことができます。
つまり、そのアカウントの資産をすべて盗むことができるというものです。

あらまー(´・_・｀)

そして、このレジャーの発表に対してトレザー側が3月12日、公式ブログで反論。

“Starting off, we would like to highlight the fact that none of these attacks are exploitable remotely. All of the demonstrated attack vectors require physical access to the device, specialized equipment, time, and technical expertise.”

引用：トレザー公式ブログ

“まず始めに、これらの攻撃がどれもリモート(遠隔)で悪用される心配がないという事実を強調したいと思います。

実証された攻撃方法はすべて、デバイスへの物理的なアクセスや特殊な機器、時間、および技術的な専門知識が必要だからです。”

トレザーは、こういった物理的な攻撃よりも、リモート(遠隔)での攻撃の方がやべーだろ！(゜Д゜)としています。

それを防ぐ目的で作られているのが、トレザーです。

また、パスフレーズ(絶対なくしちゃいけないカギ)とともに、ガッチガチのセキュリティを実現できるので物理的な攻撃が起こっても大丈夫やで(・∀・)とも反論しています。