MIT：加密货币绝对匿名是误解

网络安全专家Mashael Al Sabah认为，像区块链这样的技术并不能确保匿名，但如果有正确的方式，它们可以提供隐私、安全，甚至是自由。

网上可能没有完美的隐私和安全。黑客经常突破企业防火墙以获取客户的私人信息，而骗子则不断努力欺骗我们泄露我们的密码。如果我们正确地使用它们，但现有的工具可以提供高水平的隐私。

诀窍在于了解区块链或数字证书等技术的弱点和局限性，并且不以可能符合欺诈者或恶意软件制造者设计的方式使用它们。成功的隐私保护是 "工具和用户之间的合作"，Al Sabah说。它需要 "以正确的方式使用正确的工具"。而测试新技术的隐私和安全复原力需要她所说的 "安全心态"。Al Sabah解释说，这在评估新技术时是必要的。"你想一想以前发生的和未来可能发生的不同攻击，你试图找出弱点、威胁和技术。"

更好地理解技术是如何与所谓的匿名技术一起工作的，这是一种紧迫性。"没有隐私，人们就无法获得自由，"Al Sabah认为。"自由对社会的发展很重要"。虽然这对硅谷痴迷于最新加密货币的人们来说可能都很好，但为所有人建立资金结构的能力是她关注的一部分。Al Sabah解释说："除了隐私，加密货币还可以帮助社会，特别是金融基础设施不发达的社会"。这很重要，因为 "有的社会没有金融基础设施"。

Al Sabah在2018年在媒体上引起了轰动，他与人合作撰写了一篇论文，证明比特币交易远没有大多数用户想象的那么匿名。在这项研究中，Al Sabah和她的同事能够追踪在黑市 "暗网 "网站丝绸之路上的购买行为，只需通过公共比特币区块链和社交媒体账户的匹配数据，就能追溯到用户的真实身份。最近，Al Sabah还在研究网络钓鱼计划以及如何检测和避免它们。

Al Sabah说："现在用户对其隐私的重要性有了更多的认识。而这一点现在需要发展为教授安全最佳做法。"因此，虽然我们不能阻止新的攻击，但我们可以通过坚持最佳做法使它们变得不那么有效和难以实现。"

本播客是与卡塔尔基金会联合制作的。

Laurel Ruma：我是《麻省理工科技评论》的Laurel Ruma，这里是《商业实验室》：这个节目帮助商业领袖了解从实验室出来并进入市场的新技术。我们今天的主题是加强隐私和网络安全。现在已经是一句老话了：以前在互联网上，没有人知道你是不是一条狗，但这并不完全正确。网络安全研究人员已经能够通过以前假设的匿名交易，如比特币、区块链和Tor，来追踪人们。

我今天的嘉宾是Mashael Al Sabah博士，他是卡塔尔计算研究所的一名高级科学家。Al Sabah博士研究的是网络安全和隐私增强技术、加密货币和区块链技术。她曾是卡塔尔大学的计算机科学教授，她的相关研究已经发表在《连线》、《Bing Boing》以及学术期刊上。

Mashael Al Sabah：谢谢你邀请我。

Laurel:：那么，作为一名网络安全研究人员，你能解释一下你是如何工作的吗？看起来你似乎从识别弱点开始，展示如何利用这些弱点，然后提出防御或对策。是这样吗？

Mashael：是的，一般来说，有多种灵感路径来实现某个研究想法或主题。例如，你要么听说了一项新技术，然后当你对它感到好奇时，当你与你的同事讨论和了解它时，安全思维开始启动，你开始对它的安全和隐私产生疑问，以及它是否真的提供了它所承诺的。然后，这导致了实验来回答这些问题，根据我们通过实验获得的见解和观察，你要么想出一个解决方案，要么让人们注意到它。另一条路径是，有时我们根据我们的利益相关者的问题进行研究，了解他们的困难和实际问题。例如，我们的一些合作伙伴有大量的数据，作为一个国家研究所，我们的工作和任务是听取他们的研究问题，并设计甚至建立内部解决方案，以帮助他们满足他们的要求。

Laurel：你提到了一种安全心态，你是如何定义的？

Mashael：所以，当你听到一项技术时，你会开始问问题。它是否符合它所承诺的要求？它能保持数据的机密性吗？它是否像它声称的那样保护用户的隐私？而且你会想到以前发生的和将来可能发生的不同攻击，你会试着找出弱点、威胁和技术。

Laurel：你的研究集中在互联网的某些部分，这些部分是为了保护用户的在线隐私和匿名，如区块链和Tor，这是一个匿名的通信网络，以及这些保护可能并不像人们认为的那样强大。你有什么发现？

Mashael：成功地实现隐私需要以正确的方式使用正确的工具，因为这是工具和用户之间的合作。如果用户没有正确地使用工具，他们将无法得到他们所寻求的隐私或安全保障承诺。例如，如果你浏览到一个页面，你的浏览器警告说证书过期，但你还是连接了，那么你就有风险。在我们的一个研究项目中，我们发现，虽然Tor它确实提供了强大的隐私和匿名保证，但与比特币一起使用会妨碍用户的隐私，尽管当比特币在七年前或更早的时候开始流行，它的一个卖点是提供强大的隐私。

Laurel: 很有意思的是，一个更安全的网络是如何被破坏的，因为你再加上一个看似安全的网络，而事实上，这两个因素结合在一起。

Mashael: 单独使用Tor，它给你提供了隐私保证，但是你把它和比特币一起使用，你就打开了一些渠道，被破坏的渠道。

Laurel:：你能不能再谈谈你对使用比特币的人和他们过去交易的研究。例如，你在QCRI的同事在「连线」杂志关于这项研究的文章中说，引用一下，“如果你现在是脆弱的，你在未来也是脆弱的。”这句话是什么意思？为什么比特币特别难以维护隐私？

Mashael：所以，在高层次上，我们能够表明，有可能将用户以前的敏感交易与他们联系起来。很多人认为他们在使用比特币时是完全匿名的，这给了他们一种错误的安全感。在我们的研究中，我们所做的是，我们抓取了社会媒体，比如有一个流行的比特币用户论坛叫Bitcointalk.org，我们也抓取了Twitter，寻找用户归于自己的比特币地址。在一些论坛中，人们将他们的比特币地址与他们的个人资料信息一起分享。所以，现在你有公开的个人资料信息，其中包括用户名、电子邮件、年龄、性别、城市。这可能是高度识别的。而且你有所有这些信息和比特币地址，我们发现有数百人在网上宣传他们的地址。我们还抓取了使用比特币作为支付渠道的服务的暗网页面。在我们实验的时候，我们发现有几百个服务暴露了他们的比特币接收地址。

其中一些是像维基解密这样的揭秘服务，他们接受捐赠和支持。但也有很多是非法服务。他们出售武器和假身份证，等等。现在，我们有两个数据库，用户和他们的比特币地址，以及服务，和他们的比特币地址。我们是如何把它们联系起来的呢？我们使用了比特币区块链，它是透明的，可以在线使用。任何人都可以下载它，并可以分析它。所以，我们下载了它，比特币区块链的结构通过交易将地址联系起来。因此，如果在过去的任何时间点，任何两个地址之间发生了交易，你将能够找到它们之间的联系。而事实上，从我们的两个数据集中，我们发现了用户和隐藏服务之间的联系，包括一些非法服务，如丝绸之路。区块链是一个透明的账本，它是一个仅有应用的区块。所以历史数据不能被删除，用户和服务之间的这些联系也不能被删除。

Laurel：所以，我们得到了每个人的数据会发生什么，现在你已经做了这个链接，你已经明确了它的可用性。这些服务中有没有采取任何一种对策来防止这种不是匿名的信息被广播。

Mashael: 我认为多年来，这些服务机构意识到，比特币并不像他们想象的那样是匿名的。所以，他们从事不同的做法，可以使用户更难追踪或与他们联系起来。例如，他们中有些人使用混合服务，有些人每笔交易使用不同的地址，而不是只使用一个地址来提供服务。而这使得链接更加困难。还有其他的替代性加密货币，已经被研究过了。他们已经表明，他们提供更强的匿名性，例如Zcash。因此，现在有了更多的认识。也就是说，仍然有很多支付是通过比特币发生或进行的，甚至包括赎金软件。

Laurel: 那么，QCRI是卡塔尔基金会的研究机构之一，卡塔尔基金会的目标是推进卡塔尔国家优先领域的开创性研究，支持可持续发展和经济多样化目标，有可能使整个世界受益。那么，从这个角度来看，为什么获得安全和匿名的支付和通信系统是重要的？为什么这对社会很重要？

Mashael：这样的技术很重要，因为它们为人们提供了上网的自由，可以自由地浏览和进行交易，而不会有被监视的感觉。现在，当你意识到你被跟踪，你的所有搜索都被缓存，你的信息与广告商共享，这对用户来说会感到限制，因为就我个人而言，我觉得它可能会让我审查自己，它可以限制你的选择，用户的选择。然而，当隐私工具保护你免受跟踪者的影响时，用户感到更自由地搜索个人问题，如疑似疾病或诸如他们自己敏感的私人问题。

没有隐私，人们就无法获得自由。自由对社会的发展很重要。除了隐私，加密货币还可以帮助社会，特别是那些金融基础设施不发达的社会。有的社会没有金融基础设施，人们没有银行账户。因此，加密货币可以在缓解他们的困难和改善他们的生活方面发挥作用。我最近听说，联合国儿童基金会也推出了CryptoFund，接受捐款和加密货币，因为通过加密货币转账，在转账时间成本方面，开销非常低。

Laurel：这其实很有意思，尤其是当出现紧急情况时，联合国儿童基金会会尽快需要资金。通过使用替代银行交易，他们不仅可以节省资金，而且还可以尽快使用这些钱。

Mashael：没错，是的，开销很低，资金转移很快。而且这一切都可以追踪。

Laurel：你认为加密货币是一种替代物，实际上是通过这样的银行业务阶段来发挥核心作用，因为人们把它看作是一种更有效的方式，把钱从一个地方转移到另一个地方？

Mashael：我不认为它可以完全取代传统的银行系统，但它可以补充它。它可以满足一些要求，而且它可以帮助那些没有或金融基础设施不发达的社会。

Laurel：我发现这也很有趣，正如你提到的，隐私对自由是多么重要。在商业上，我们已经发现，我们在互联网上走到哪里都会被广告和cookies以及其他方式追踪，保持我们对什么感兴趣，以及我们接下来可能会买什么。几年前有很多争议，追踪者如何通过一个女人访问的各种网站来判断她是否怀孕，然后开始用特定的广告锁定她。除了商业目的之外，你是否看到，互联网消费者在整个互联网上有更严格的方式，严格意味着改善隐私。你是否认为隐私是消费者开始越来越多地寻找的东西之一？

Mashael：我认为肯定会有更多，现在用户对他们的隐私的重要性有更多的认识。有更多的意识。有关于政府跟踪他们的公民和其他，以及他们的数据的泄漏，还有关于一些公司存档和聚集用户数据的信息等等。因此，人们肯定更清楚，例如，最近当WhatsApp决定改变他们的隐私政策时，我们注意到了一种批评。许多人，许多用户转而使用其他不同的应用程序，如Signal，具有更好的隐私政策。

Laurel：网络钓鱼攻击是如何演变的？网络攻击者使用什么方法来欺骗人们提供私人信息或下载恶意软件？

Mashael：最近的研究表明，网络钓鱼攻击没有放缓的迹象。尽管与前几年相比，恶意软件的数量在下降，但网络钓鱼却在上升。他们使用各种，钓鱼者使用各种技术。例如，一种技术，一种常见的技术，被称为 "蹲守"，即攻击者注册域名，与流行的域名相似，这样他们可以让用户看起来更合法。例如，有PayPal.com。因此，他们注册一些类似的东西，"PayPall/"，其中多了一个L或者有一个错别字，这样可以让用户看起来更合法。

他们还使用社会工程战术，以达到更有效的目的。钓鱼者往往可以尝试触发我们大脑的快速决策过程，他们通过发送含有优惠链接的电子邮件来实现，例如，"报名参加covid疫苗，数量有限"，类似这样的话。因此，他们给用户一种紧迫感。然后用户访问这些链接，并被鼓励通过输入私人信息进行注册。有时在这些链接中，他们最终还下载了恶意软件，这使问题变得更糟。在我们的研究中，我们还观察到，获得TLS证书的钓鱼网站的数量近年来一直在增加。而且，他们获得数字证书是为了让用户看起来更合法，因为浏览器可能不会连接到该域名，或者警告用户该域名没有使用TLS。

Laurel：所以，黑客者通过这些数字证书使自己看起来更合法。而事实上，他们所做的只是欺骗那种自动系统，使其能够通过它们，所以他们看起来是合法的。

Mashael：现在有一些浏览器已经强制要求域名获得证书，以便连接到它们。因此，为了接触更多的受害者，现在必须获得这些证书，而且很容易获得，因为它们是免费的。有一些证书颁发机构以自动方式免费提供这些证书，例如Let's Encrypt。

Laurel：为什么在covid-19疫情期间，网络钓鱼威胁成为一个更大的问题？

Mashael：当疫情泛滥的时候，有恐惧的因素，这可能会引发错误的决定，用户想知道更多故事。因此，在这种情况下，他们更有可能放松警惕，访问那些声称提出新信息来源的网页。所以，整个情况对攻击者来说可能是更有成效的。事实上，即使在疫情的早期，大约在2020年3月底，也有数以万计的冠状病毒相关的垃圾邮件攻击被观察到。我们还观察到数十万个新注册的域名，这些域名也与疫情有关，似乎是出于恶意的原因而注册的。

Laurel：那么，当你们发布有关漏洞的研究报告时，你们是希望它能激发人们采取更多的对策，还是认为它能完全导致重新设计系统，使其更加安全，还是希望两者都能发生？

Mashael：当我们发布关于漏洞的研究时，实际上两者都有。在网络安全研究界有一个共识，那就是研究威胁是非常有价值的，因为它使人们注意到那些如果被攻击者首先发现就可能导致妥协或隐私被侵犯的弱点。这样一来，人们可以更加谨慎，可以通过更好地教育自己来采取更有力的应对措施。另外，通过这样的研究，当你让人们注意到某个弱点或漏洞时，你也可以开始思考，或提出对策，并全面提升系统。

Laurel: 那么，当你真的发现一个漏洞时，提醒有关方面的过程是什么？例如，最近的新闻中，谷歌曝光了西方政府的黑客行动。但是，对于这种敏感问题，尤其是涉及到政府的时候，必须有一个标准的协议。

Mashael：因此，在QCRI，我们通知我们的合作伙伴，并写出详细的报告。我们有实验室，我们部署了内部构建的系统和工具，可以帮助他们自己也处理、分析和发现此类事件。

就像我之前说的，服务社会是我们的任务，这就是为什么从我们研究所成立之初，我们就努力与国内不同的政府机构和不同的利益相关者建立关系，我们仔细确定国家需要的研究方向，首先服务于国家，服务于社会。

Laurel: 你现在在做什么工作？

Mashael：现在我正在进行几个研究项目。其中一个是与网络钓鱼有关的。我们观察到，就像我之前说的那样，越来越多的钓鱼网站域名正在获得数字证书，以显得更加合法。因此，谷歌有一个证书透明度项目，它基本上是发布即将到来的新域名及其证书的服务器。因此，这是一个资源，我们可以识别即将到来的新域名，并了解它们是否可能用于恶意或网络钓鱼目的。

因此，我们利用现有的情报来识别它们是否是钓鱼网站。这是一个成功的方法。我们能够使用机器学习，并以非常高的准确率（超过97%）对一个域名进行分类，有时甚至在它们可以在线使用之前，仅仅通过查看其证书和其他基础设施信息，就能确定其确实会被用于网络钓鱼。

我还在努力识别使用匿名通信的恶意软件。越来越多的恶意软件使用代理或VPN和Tor来逃避检测，因为这很难，通常僵尸网络或受感染的机器，他们从某个集中的机器上获得指令。而如果它部署在一个公共IP上，网络管理员就很容易识别它并阻止与它的连接。这就是为什么僵尸网络的主人现在把他们的命令和控制服务器部署为一个Tor隐藏服务。因此，它是匿名的，被感染的机器很容易连接到它，并获得命令和通信，但很难进行摧毁行动。因此，我们正在研究流量分析技术，以识别这种连接，这是基于我们在利益相关者的日志中发现的感染情况。所以，这是基于我们合作伙伴的实际需要和要求。

Laurel:听起来你正在使用一些新的和不同的技术，但正如你所提到的在合作和伙伴关系中，当你能真正与这里的一些合作伙伴一起解决一个问题时，这使得一切都不同。你对人们、消费者如何更谨慎地使用互联网有什么建议吗，或者有其他新技术可以帮助保障通信和金融交易的安全吗？

Mashael：我认为一般来说，用户有责任通过更多的教育和意识来确保他们的隐私得到维护。当他们分享数据时，他们必须被告知他们的数据将如何被处理，并了解数据丢失或数据聚集和处理以及在线不同公司分享的可能后果。