39、区块链数字身份攻击解析

区块链数字身份攻击解析

1. 引言

身份是在特定环境下对用户、设备、进程或服务的一种独特表示。它包含个人独有的属性、特征或偏好，比如出生日期、银行账号、社保号码、护照信息、家庭成员信息、（加密）凭证、生物识别信息或其他必要的个人身份识别信息（PII）。攻击者若掌握这些信息，可能会以多种方式损害个人利益，如通过访问银行账户造成经济损失、渗透组织或诬陷个人。

基于区块链的数字身份管理系统提供了一个点对点（P2P）的去中心化平台，让用户能够完全掌控自己的身份信息。身份管理通常借助去中心化应用程序（DApps）来实现，这些应用程序存储个人完整身份信息，并且每次信息的添加、更新和删除都使用加密代币在区块链上完成交易。与传统数字身份管理通过用户ID和密码验证身份不同，基于区块链的身份管理系统还依赖公钥和私钥进行验证。每个用户都有一个唯一的公共地址和一个私钥，私钥可安全存储在用户自己的系统或组织服务器中。

2. 通过客户端用户界面攻击数字身份

2.1 凭证填充

• 机制 ：攻击者从数据泄露和密码转储网站获取或收集凭证，使用自动化工具在不同网站测试凭证，以窃取数字身份。成功登录后，攻击者访问网站或应用程序，从目标网站窃取数字身份，用于滥用或出售给有需求的组织。
• 用例 ：攻击者可从密码转储网站获取不同密码集，利用受损的用户ID和密码访问任何私人存储库。
• 要求 ：攻击者需要从密码转储中获取用过的密码，并组建团队在不同账户测试所有凭证以实现成功攻击。