Bitcoin-transaktioner er ikke så anonyme, som alle håbede

Et stigende antal online-handlere tilbyder nu muligheden for at betale med kryptovalutaen Bitcoin. Et af de store løfter ved denne teknologi er anonymitet: transaktionerne registreres og offentliggøres, men de er kun forbundet med en elektronisk adresse. Så uanset hvad du køber med dine bitcoins, kan købet ikke spores specifikt til dig.

Dette er praktisk for nogle, men anonymiteten er på ingen måde perfekt. Sikkerhedseksperter kalder det pseudonymt privatliv, som at skrive bøger under en nom de plume. Du kan bevare dit privatliv, så længe pseudonymet ikke er knyttet til dig. Men så snart nogen linker til en af ​​dine anonyme bøger, afsløres listen. Hele din forfatterhistorie under dit pseudonym bliver offentlig. På samme måde, så snart dine personlige oplysninger er knyttet til din Bitcoin-adresse, afsløres din købshistorik også.

Det rejser et vigtigt spørgsmål for folk, der håber at bruge Bitcoin til at foretage anonyme køb: Hvor nemt er det at forbinde dem med deres Bitcoin-transaktioner?

I dag får vi et svar takket være Steven Goldfeders arbejde ved Princeton University og en række venner. Disse fyre siger, at den måde, information lækker under almindelige køb, gør det ligetil at forbinde enkeltpersoner med de Bitcoin-transaktioner, de foretager, selv når købere bruger yderligere beskyttelse af privatlivets fred, såsom CoinJoin.

De vigtigste syndere er webtrackere og cookies – små stykker kode, der bevidst er indlejret i websteder, der sender oplysninger til tredjeparter om den måde, folk bruger webstedet på. Almindelige websporere sender oplysninger til Google, Facebook og andre for at spore sidebrug, købsbeløb, browservaner og så videre. Nogle trackere sender endda personligt identificerbare oplysninger såsom dit navn, adresse og e-mail.

På denne måde lækker information om en transaktion ud på nettet, hvor regeringer, retshåndhævende myndigheder og ondsindede brugere let kan indsamle og analysere dem.

Spørgsmålet, som Goldfeder og co undersøger, er, hvor nemt det er at bruge disse oplysninger til at forbinde folk til deres Bitcoin-transaktioner. Denne proces kræver, at aflytteren kender en persons personligt identificerbare oplysninger - for eksempel navn og e-mail - og derefter forbinder det med en specifik Bitcoin-adresse.

Holdet startede med at liste store købmænd, der tillader Bitcoin-transaktioner. De kom med 130 af dem, inklusive Microsoft, NewEgg og Overstock.

De undersøgte derefter, hvordan webtrackere lækker information fra hver af disse websteder under købsprocessen. Vi konstaterer, at mindst 53/130 af handlende lækker betalingsoplysninger til i alt mindst 40 tredjeparter, oftest fra indkøbskurvsider, siger Goldfeder og co.

Det meste af denne informationslækage er bevidst med henblik på annoncering og analyse. Men forskerne siger også, at der også sendes nogle ekstra oplysninger. Vi oplever, at mange købmandswebsteder har langt mere alvorlige (og sandsynligvis utilsigtede) informationslækager, der direkte afslører den nøjagtige transaktion på blockchain til snesevis af trackere, siger de.

Det er dårlige nyheder for folk, der håber at holde deres Bitcoin-køb anonyme. Men selv når den nøjagtige transaktion holdes skjult, er det stadig muligt at lave linket, når lækket inkluderer beløb og tidspunkt for købet.

I så fald skal aflytteren konvertere købsbeløbet til Bitcoins ved hjælp af valutakursen på det tidspunkt og derefter søge i blockchain for en transaktion på det beløb på det tidspunkt. Dette afslører Bitcoin-adressen på brugeren. Eventuelle andre køb foretaget med denne adresse er så trivielle at spore.

Der er et par yderligere faktorer, der gør denne proces vanskeligere. Web-trackeren kan lække prisen på produktet, men inkluderer ikke forsendelse, så det samlede Bitcoin-køb er muligvis ikke klart.

Der kan også være et hul mellem det tidspunkt, hvor brugeren så siden, hvor informationen lækket fra - for eksempel kassevognen - og det tidspunkt, hvor købet rent faktisk blev foretaget. Bitcoin-køb er tidsstemplet, så det bliver sværere at spore dem, hvis tidspunktet ikke kendes præcist.

Købsbeløbet angives normalt i en lokal valuta såsom dollars eller pund og konverteres derefter til Bitcoin på købsøjeblikket. På grund af den store variation i Bitcoin-kurserne kan det være svært at regne ud den nøjagtige Bitcoin-værdi, hvis købstiden ikke kendes nøjagtigt.

Alle disse faktorer gør det sværere at knytte enkeltpersoner til deres Bitcoin-transaktioner, men det er på ingen måde umuligt. Vi finder, at unik kobling er mulig i over 60% af tilfældene for realistiske værdier af disse parametre, siger forskerne.

Der er måder at skjule Bitcoin-transaktioner på. En af de mest populære er CoinJoin, en tjeneste, der forbinder brugere, der ønsker at foretage lignende betalinger, og derefter giver dem mulighed for at betale sammen. Dette blander deres bitcoins, hvilket gør det sværere at identificere dem.

Men Goldfeder og co påpeger, at hvis en person bruger CoinJoin til at foretage flere køb på denne måde, er det ligetil at linke dem tilbage: Hvis offeret bruger 3 runder CoinJoin, og modstanderen observerer to af offerets betalinger, kan han linke dem. tilbage til sin pung (på trods af blanding) med 98 % nøjagtighed.

Der er flere måder, hvorpå købere kan beskytte sig selv ved hjælp af værktøjer som Ghostery, AdBlock Plus eller uBlock Origin. Disse er nyttige, men kan nogle gange gå glip af trackere og på andre tidspunkter helt forhindre køb. Sådanne forsvar kan være ret effektive, men de er langt fra perfekte, siger Goldfeder og co.

Alt dette vil komme som deprimerende nyheder for folk, der håber at bevare deres privatliv online.

Men det vil også være musik i ørene på de retshåndhævende myndigheder, der håber at spore uhyggelige aktiviteter. Som stort set alle deanonymiseringsangreb på kryptovalutaer, kunne vores teknikker bruges til at bygge retsmedicinske værktøjer til brug for retshåndhævelse, indrømmer Goldfeder og co.

Og som alle deanonymiseringsteknikker, vil det have fordele og ulemper.

Ref: arxiv.org/abs/1708.04748 : Når Cookien møder Blockchain: Privatlivsrisici ved webbetalinger via kryptovalutaer

skjule