Интернет-магазины постоянно сливают данные о ваших покупках. По словам специалистов по кибербезопасности, это облегчает задачу привязки покупателей к их биткоин-покупкам.
Всё больше интернет-магазинов в качестве способа оплаты предлагают воспользоваться Биткоином. Одна из важнейших особенностей этой технологии — это анонимность: хоть транзакции записываются и публично доступны, связаны они лишь с электронным адресом (прим.ред.: а в случае использования аппаратного кошелька, а не веб-кошелька в духе blockchain.info, транзакции не связаны даже и с е-мэйлом пользователя). Таким образом, что бы вы не покупали, покупку нельзя проследить прямо до вас.
Кому-то этого хватит, но такая анонимность ни в коем случае не идеальна. Эксперты называют это псевдонимной конфиденциальностью — как у писателей с выдуманным именем. Вы можете оставаться в тени лишь до тех пор, пока ваш литературный псевдоним с вами не связан. Но как только кто-то обнаружит, что именно вы написали всего одну из всех ваших книг, ваша хитрость перестанет работать. Вся ваша писанина под псевдонимом станет известна. Аналогично, как только ваш адрес в сети Биткоин свяжут с вашими личными данными, ваша история покупок будет раскрыта.
Для людей, желающих использовать Биткоин для совершения анонимных покупок, это важный вопрос: насколько легко провести параллели между ними и их Биткоин-транзакциями?
Благодаря работе Стивена Голдфедера (Steven Goldfeder) из Принстонского университета и его коллег, у нас наконец появился ответ. По их словам, даже с дополнительной защитой приватности вроде CoinJoin, сливы информации во время покупок сильно упрощают установление связей между покупателями и совершаемыми ими Биткоин-транзакциями.
Винить нужно веб-трекеры и куки — небольшие куски кода, специально встраиваемые в веб-страницы для отправки информации о действиях пользователей третьим лицам. Распространенные трекеры помогают Google, Facebook и др. отслеживать навигацию по сайту, количество покупок, привычки серфинга и тому подобные вещи. Некоторые трекеры даже отсылают личные данные вроде вашего имени, местоположения и электронной почты.
В итоге, информация о транзакциях оказывается в сети, а правительства, правоохранительные органы и злоумышленники могут её собирать и анализировать.
Голдфедер и Ко задались вопросом, насколько легко эту информацию использовать для нахождения людей по их транзакциям в сети Биткоин. Сам процесс требует прослушки, чтобы узнать персонально идентифицируемую информацию — имя и почту, к примеру — и связать её с конкретным Биткоин-адресом.
Команда начала с составления списка крупных компаний, работающих с Биткоин-транзакциями. В него вошли 130 компаний, включая Microsoft, NewEgg и Overstock.
После чего они изучили, как веб-трекеры по ходу покупки сливают информацию с сайта каждой компании.
«Мы нашли, что по меньшей мере 53 магазина из 130 передают информацию о платеже как минимум 40 третьим сторонам, чаще всего со страниц «Моя корзина». — сказал Голдфегер.
Большая часть этого слива намеренная и служит аналитическим и рекламным целям. Но исследователи утверждают, что отсылаются и кое-какие дополнительные данные.
«Мы нашли, что многие сайты сливают (скорее всего, ненамеренно) десяткам трекеров куда более серьезную информацию — конкретную транзакцию в блокчейне.»
Для тех, кто надеется на анонимность своих Биткоин-покупок, это плохие новости. Но даже если конкретная транзакция не обнародована, установить связь можно, используя переданные объём и время покупки.
В этом случае, перехватчику нужно конвертировать сумму покупки в биткоины по курсу на момент покупки, и найти транзакцию с этой суммой и на этот момент. Так и раскрывается пользовательский адрес. Любые другие покупки, совершенные с помощью этого адреса, будет проследить очень легко.
Есть и пара дополнительных факторов, усложняющих этот процесс. В случае, когда веб-трекер может передать только стоимость товара без доставки, полная сумма в биткоинах может быть не очевидна.
Также, возможно, что между просмотром страницы, с которой утекла информация, и собственно покупкой, пройдёт какое-то время. Учитывая, что покупки (транзакции) имеют временные отметки, их сложнее отследить, если неизвестно точное время.
Сумма покупки же обычно дается в местной валюте вроде долларов или фунтов, и конвертируется в биткоины в сам момент покупки. Из-за значительной неустойчивости обменных курсов биткоина, без достоверной информации о времени покупки может быть нелегко узнать её точную стоимость.
Все эти факторы усложняют привязку отдельных лиц к их транзакциям, но это ни в коем случае не исключено.
«Мы обнаружили, что образование уникальной связи возможно в 60% случаев в случае выставления реалистичных значений этих параметров».
Есть способы спрятать Биткоин-транзакции получше. Из наиболее известных — CoinJoin, сервис, который объединяет пользователей, желающих совершить схожие покупки, и позволяет им платить вместе. При таком подходе биткоины смешиваются, что усложняет их идентификацию.
Но Голдфедер и Ко указывают, что если кто-то использует CoinJoin, чтобы сделать таким образом несколько покупок, их можно легко отследить:
«Если жертва использует 3 раунда CoinJoin и злоумышленник увидел 2 платежа, он может связать их с кошельком жертвы с точностью до 98%, несмотря на смешивание (миксинг)».
Есть несколько способов защитить себя инструментами вроде Ghostery, AdBlock Plus, или uBlock Origin. Они полезны, но иногда упускают трекеры, а в других случаях не дают совершить покупку вообще.
«Такая защита может быть довольно эффективной, но она далека от идеала» -сказали Голдфегер и Ко.
Всё это — довольно печальные новости для людей, надеющихся остаться инкогнито в сети. Но в то же время, это музыка для ушей правоохранительных органов, стремящихся отслеживать злостные нарушения закона.
Голдфедер и Ко признают:
«Как практически все деанонимизирующие атаки на криптовалюты, наши методы могут быть использованы для разработки криминалистических инструментов для нужд государственных внутренних органов».
Как и все деанонимизирующие методы, этот имеет как достоинства, так и недостатки.
Будь в курсе! Подписывайся на Криптовалюта.Tech в Telegram
