Web3.0時代の情報セキュリティ
著者: ジャッキー・シン
原文編纂：ベーズ研究所（原著者より転載許可）
Jackie Singh は、非営利の Technology Oversight Project のディレクターであり、Web3.0 コミュニティの積極的なメンバーです。米陸軍退役軍人で元防衛請負業者のシン氏は、以前にサイバーセキュリティコンサルティング会社スパイグラスセキュリティを設立し、バイデン大統領陣営のサイバーインシデント対応責任者を務めていた。
Web 3.0 は、過去のサイバーセキュリティの間違いから逃れる機会を提供します。テクノロジーの可能性を認識したオープンマインドな情報セキュリティの専門家が Web 3.0 に投資しています。
Web3.0の急速な発展に伴い、情報セキュリティ実務家として、ますます注目せずにはいられません。テクノロジー業界の多くは依然として、ブロックチェーン、仮想通貨、NFTは詐欺であり、経済を破壊しており、運命にあると信じています。しかし、これらのテクノロジーの急速な導入、多くの多国籍企業による採用、そしてデジタル資産に関するバイデン大統領の最近の大統領令は言うまでもなく、これらすべては Web 3.0 が単なる流行語ではないことを示しています。
最初のレベルのタイトル
MP3共有からブロックチェーンへ
私がこの規模の分散型イノベーションを初めて目にしたのは、1999 年に設立されたピアツーピアのオーディオ ストリーミング サービス プロバイダーである Napster でした。
最近、ブロックチェーンと同様に「クラウド」がバズワードになりました。 10 年前、同僚と私はこの用語の無意味さについて冗談を言いました。「クラウドなんてない、あるのは他人のコンピューターだけだ」。
今日、クラウド コンピューティングは、私たちが予想していたよりもはるかに大きくなりました。実際、特定のベンダーのプラットフォームに特化しない限り、クラウド テクノロジの保護に伴う微妙なニュアンスを理解するのは難しい場合があります。私は、バズワードから基本的なインターネット技術に至るまで、Web 3.0 でも同じ進化が起こると予想しています。
最初のレベルのタイトル
情報セキュリティブース
最近、多くの企業がサイバーセキュリティにこれまで以上に投資しているにもかかわらず、ほぼ毎週のように新たな大規模なデータ侵害のニュースが聞こえてきます。同時に、情報セキュリティの革新は、クラウド コンピューティングなどの他のテクノロジー分野に比べて停滞しています。
情報セキュリティ分野では一般的に人的要素への注意が欠如しており、ユーザーは間違ったリンクをクリックしたり、オンラインで自分の安全を守る方法を知らなかったりするなど、詐欺の餌食になってしまいます。たとえば、ウェブサイトにリダイレクトするための QR コードをフィーチャーした Coinbase のスーパーボウル広告をめぐる最近の論争を考えてみましょう。 QR コードのスキャンについて心配する必要はありますか?
同時に、情報セキュリティ コミュニティは効果のない防御に依存し続ける傾向があり、以前に防御ネットワークを M&M ネットワーク、つまり硬くて脆い境界と柔らかく溶けて脆弱な内部があると説明しました。その一方で、あらゆる機能セキュリティ オペレーション センターの中核機能である機密ログ データの一元化により、監視関連のデータ ガバナンス、コンプライアンス、倫理の問題が生じ、規模が大きくなるとさらに悪化します。
最初のレベルのタイトル
Web3.0の登場
最終的には、ブロックチェーンなどの分散エコシステムの基盤となる防御に依存する方が、プライベートな集中監視で脆弱なネットワークを悪用しようとするよりも効果的です。
PoWを使用しないより効率的なブロックチェーンは、ビットコインのようなシステムのエネルギー消費に関する懸念を軽減できる可能性があります。私を含む多くの人は、イーサリアムが長期的に計画されている、多くのエネルギー使用を必要としないコンセンサスメカニズムへのアップグレードを待つことにうんざりしており、現時点ではイーサリアムの使用は私たちの Odaily にとって総合的に悪い選択となっています。イーサリアムの先行者利益にもかかわらず、他のブロックチェーンはイーサリアムやビットコインのプルーフ・オブ・ワーク・メカニズムよりも環境に優しい特性を備えて登場しています。たとえば、Solana はカーボンニュートラルなブロックチェーンで、開発者は Rust プログラミング言語を使用して実装されたスマート コントラクトを通じてセキュリティをゼロから構築できます。 Rust を使用すると、あらゆる種類のセキュリティ リスクが排除され、おそらくコードの脆弱性を防ぐための最良のツールの 1 つとなります。
バグを発見するには、インターフェイスをユーザーに公開するより良い方法はおそらくありません。攻撃者と防御者が同じ情報にアクセスできると、より予防に重点を置いた方法で競争の場が平等になります。これにより、情報セキュリティ業界は時間をかけてシステム上の弱点に対処できるようになります。
ただし、今日のブロックチェーンは完全に分散化されていません。真の分散化は、多くの Web 3.0 愛好家にとって依然として高い目標ですが、そのようなシステムが実際にどのようなものかを説明しようとする人はほとんどいません。ただし、トラストレス性とパーミッションレス性は、依然として Web 3.0 エコシステムにおけるシステム設計を積極的に導く重要な原則です。理想的には、管理者のみが見ることができるサーバー上の不透明なコードではなく、ブロックチェーン自体とブロックチェーンにデプロイされたスマート コントラクトがユーザー間のトランザクションを仲介します。
ブロックチェーンを使用すると、暗号化を使用して特定の基本的な事実を確認でき、何かを知る必要があるときはブロックチェーンを調べます。分散型アプリケーション (dApp) 開発者は、データをオンチェーンに保存し、重要な計算をオフチェーンで実行することを回避し、個人のウォレットを超えたアクセス メカニズムを開発するよう奨励されています。これにより、データの整合性が高まり、入力、計算、出力がより完全に観察可能になります。
ユーザーは自分のデータに対するより大きな主権を必要としていますが、開発者はプライバシーを保護するためにデータ収集を最小限に抑えることに関心を持っています。 Web 3.0 は、キーの管理をユーザーに移し、ユーザーが自分のデータをより詳細に制御できるようにすることで、これらの目標の達成に役立ちます。個人キーの個人管理により、ユーザーはブロックチェーン上で自分の ID の所有権を維持する究極の機会が得られます。これは、これまでのエンタープライズ規模のネットワークの管理方法とは異なりますが、データ収集とアクセス管理に関連する組織のリスクを軽減しながら、ユーザーに権限を与える方法として、これらの新しいアーキテクチャを歓迎する必要があります。
最初のレベルのタイトル
新しい機会
Web 3.0 時代の情報セキュリティの世界は、情報セキュリティへの取り組みが増加していることや、ブロックチェーンやスマート コントラクトの脆弱性悪用の成功によって引き起こされた巨額の損失が証明しているように、変化しているようです。
Web 2.0 の企業は、標準化されたサイバー保険などの緩和要素や会社への長期的な影響がないため、多くの場合侵害を無視できますが、Web 3.0 の組織はセキュリティ上の懸念を無視できず、1 つのミスで数百万ドルの損害が発生する可能性があります。すべての資金の喪失による組織全体の解散。
このような背景から、Web 3.0 のバグ報奨金は驚異的な数字に達しています。 Web3.0 の最大のバグ報奨金プラットフォームである Immunefi のガイドの中で、同社は次のように述べています。「一部の情報セキュリティ担当者やホワイトハットハッカーは、Web3.0 に参加する前に Web2.0 でひどい扱いを受け、低賃金でした。彼らはその態度を企業にもたらしました。 Immunefi - 彼らは今、以前よりも大きな力と尊敬を得ています。」
著名なハッカーのジェイ・フリーマン氏は、セキュリティ上の欠陥を発見して200万ドルの報奨金を獲得した後、最近こう語った。政策と規制は進行中の作業であり、コンプライアンス要件は従来の金融分野の要件と一致する可能性が高いですが、Web 3.0 業界もこれらの脆弱性は最終的には高度な技術を備えたセキュリティ専門家によって対処される必要があると考えています。現在の外部監査人や報奨金制度ではなく、長期的な戦略家としての役割を果たします。
セキュリティ企業 Hacken は、最近のレポートで Web 3.0 業界の見通しを説明し、定期的なセキュリティ監査の必要性が今後 5 年間で増加すると予測しています。
また、「ブロックチェーン分析」または「ブロックチェーン調査」企業のニッチ市場も台頭しており、その名には、Chainalies、CipherTrace (最近 Mastercard が買収)、Elliptic、TRM Labs (A16z、JP Morgan、PayPal、Salesforce が所有) などがあります。等。）。これらの企業は、ブロックチェーンに対する脅威を分析、検出、追跡するために専門のソフトウェアと人間のアナリストを使用しており、Web 2.0 で急速に成長した Mandiant や Foundstone のような初期の Web 2.0 サイバーセキュリティ企業を彷彿とさせます。
最初のレベルのタイトル
違いはなんですか？
ブロックチェーンは透過的かつオープンであり、閉じられたデータベースと不透明な操作に慣れている人にとっては、これは新鮮な見方を必要とするものです。ブロックチェーンおよび暗号通貨企業は、一般的な Web 2.0 企業ほど知的財産保護に関心を持たない傾向があります。コードは多くの場合オープンソースであり、ユーザーの信頼を高めるために公安監査に基づいています。
Web 2.0 のセキュリティ実践は、結果を最初から回避するのではなく、結果に対処することに重点を置いていますが、Web 3.0 の情報セキュリティはコード、エンジニアリング、アーキテクチャに焦点を当て、予防に重点を置いています。
Web3.0 エコシステムは本質的によりオープンであり、プロジェクトは通常、Discord や Twitter のコミュニティでホストされます。最近の記事で、2 人の Web 3.0 プロジェクト マネージャー、Lenny Rachitsky と Jason Shah が、自分たちのキャリアがどのように Web 3.0 に移行したかを説明し、現在の技術的な作業モデルからの完全な脱却を求めました。彼らは、Web 3.0 を支える監視/データ収集主導のエコシステムが欠如していること、およびリリース時にコードにできる限りバグがないことを保証する必要があることを認識しています。
最初のレベルのタイトル
才能が流れ出ている
すでに Web 3.0 に飛び込んでいるのは、可能性を見出している人々だけではありません。世界最高のハッカーの何人かは、すでに Web 3.0 にフルタイムで取り組んでいます。例えば：
情報セキュリティの専門家は、ビットコインやイーサリアムなどのさまざまな「レイヤー 1」ブロックチェーン ネットワーク、Monero や Zcash などの情報セキュリティ領域に特に関連するプライバシー コインに精通している必要があり、暗号通貨、トークン、DeFi、NFT の意味について詳しく学ぶ必要があります。
情報セキュリティの専門家は、将来のセキュリティ事件や捜査で暗号通貨に精通できるよう、早期に学習を開始する必要があります。
さらに詳しく知りたい人向けのヒントとリソースをいくつか紹介します。
Web 3.0 の研究を書いたセキュリティ会社のブログや、Web 3.0 には人々にデジタルの力を与え、自由に表現できる可能性があると信じる声をチェックしてください。
暗号ウォレットを設定して暗号通貨の送金を行ってから、ブロックチェーンを調べてそれらのトランザクションがどのように機能するかを確認してください。
主要なスマート コントラクト プラットフォーム、その実行環境、および関連するプログラミング言語について学びます。 dApp を構築したいですか?いくつかの BuildSpace チュートリアルを参照したり、Developer DAO、Surge などのリソース コミュニティに参加したりできます。 Github 上のブロックチェーン固有のセキュリティ リポジトリ (awesome-ethereum-security や awesome-evm-security など) を確認してください。
Immunefi でいくつかのオープンな報奨金に参加してください。
フィッシングの一般的なベクトルと手法、特に Discord や Twitter 上の脅威について学びます。 NFTウォッシュ取引やその他の詐欺などの危険信号について学びましょう。過去の大規模なハッキングや最近の詐欺をチェックしてください。
最初のレベルのタイトル
先は長い
情報セキュリティには特効薬はなく、ブロックチェーンも例外ではなく、分散型システムは他のコンピュータと同様のリスクに直面しています。ブロックチェーンは本質的に安全ではないネットワークですが、大規模な安全なトランザクションの基礎を築き、インターネット サービスの継続的な拡大に不可欠な機能です。
また、分散型テクノロジーは分散型電力を自動的に生成するものではなく、Web 3.0 の実現はまだ遠いということにも注目してください。セキュリティの専門家は、Web 3.0 システムにおける公平な権力構造を促進し、セキュリティとプライバシーをシステムの中心に置くことで支援できます。
技術戦略家のスコット・スミス氏とリナ・スリヴァスタヴァ氏はスタンフォード・ジャーナル・オブ・ソーシャル・イノベーションに次のように書いている。それは社会的精神ですが、新しいネットワークやテクノロジーのアーキテクチャの不可欠な部分です。」
Web 3.0 とブロックチェーンには明らかな可能性があるにもかかわらず、これらのテクノロジーには人権や民主主義をサポートする本質的な能力はありません。情報セキュリティ担当者は、インターネット ユーザーを保護するというビジョンの延長として、ポジティブな価値を統合するのを支援できます。中央銀行等が発表した「仮想通貨取引における誇大広告のリスクのさらなる防止及び対応に関する通知」によれば、本記事の内容は情報共有のみを目的としており、いかなる運営・投資を推奨・推奨するものではありません。違法な金融行為に参加する。
リスク警告:
中央銀行等が発表した「仮想通貨取引における誇大広告のリスクのさらなる防止及び対応に関する通知」によれば、本記事の内容は情報共有のみを目的としており、いかなる運営・投資を推奨・推奨するものではありません。違法な金融行為に参加する。
