{"id":8781,"date":"2019-03-21T10:00:28","date_gmt":"2019-03-21T09:00:28","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog?p=8781"},"modified":"2019-03-16T13:51:32","modified_gmt":"2019-03-16T12:51:32","slug":"blockchain-inviolable","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/blockchain\/blockchain-inviolable","title":{"rendered":"Blockchain : est-elle aussi inviolable qu’on le pr\u00e9tend?"},"content":{"rendered":"

J’entend et je lis partout que la blockchain est inviolable. Qu’elle serait l’avenir de la cybers\u00e9curit\u00e9. En fait il y a beaucoup de mythes autour de cette nouvelle technologie. Et cela vient essentiellement de l’essor des crypto-monnaies depuis quelques ann\u00e9es. Il s’agit seulement d’une technologie et elle n’est pas inviolable. Elle est seulement \u00e0 ses d\u00e9buts et aucun cyber-criminel n’irait s’attaquer \u00e0 une nouvelle technologie s’il n’y avait pas de b\u00e9n\u00e9fice \u00e0 en tirer. Or avec l’essor du bitcoin, les b\u00e9n\u00e9fices substantiels ont commenc\u00e9 \u00e0 devenir \u00e9vidents. Les pirates ont donc commenc\u00e9 \u00e0 s’attaquer \u00e0 cette nouvelle technologie. R\u00e9sultat : plus de 2 milliards de dollars ont \u00e9t\u00e9 d\u00e9tourn\u00e9s des transactions en bitcoins utilisant la blockchain depuis d\u00e9but 2017. Alors, la blockchain est-elle aussi inviolable qu’on le pr\u00e9tend?<\/em><\/p>\n

\"Cybers\u00e9curit\u00e9
Cr\u00e9dit \u00a9 rawpixel.com 2019<\/figcaption><\/figure>\n

L’utilisation de la \u00a0blockchain ne se limite pas au domaine des crypto-monnaies. Elle a de multiples applications dans les entreprises. Il y a quelques semaines, l’IDC a d\u00e9voil\u00e9 ses pr\u00e9visions pour 2019 concernant la transformation num\u00e9rique mondiale. Deux des dix pr\u00e9dictions sont li\u00e9es \u00e0 la blockchain et IDC lui pr\u00e9dit un impact majeur d\u2019ici 2021.<\/p>\n

La blockchain apporte des solutions aux entreprises<\/h2>\n

R\u00e9duction des co\u00fbts de transaction de 35%<\/h3>\n

La premi\u00e8re pr\u00e9vision est la suivante: \u00abD’ici 2021, les cha\u00eenes de valeur de premier plan dans l’industrie, activ\u00e9es par les cha\u00eenes de blocs, auront \u00e9tendu leurs plates-formes num\u00e9riques \u00e0 l’ensemble de leurs \u00e9cosyst\u00e8mes omni-exp\u00e9riences, r\u00e9duisant ainsi les co\u00fbts de transaction de 35%\u00bb.<\/p>\n

Robert Parker, vice-pr\u00e9sident du groupe IDC, a expliqu\u00e9 comment les entreprises commencent \u00e0 int\u00e9grer des projets pilotes de blockchain dans leurs programmes de transformation num\u00e9rique. 42% des entreprises ont au moins un pilote actif de blockchain. Cependant, il note qu’aujourd’hui seulement une ou deux entreprises dirigent ces projets. Il donne ainsi les exemples de Walmart ou Bumble Bee.<\/p>\n

\u00ab\u00c0 compter de 2019, nous commencerons par envisager une transition vers un plus grand nombre d’initiatives bas\u00e9es sur des consortiums, dans lesquels toutes les cha\u00eenes de valeur se r\u00e9uniront pour tirer parti des enregistrements immuables et des capacit\u00e9s du grand livre distribu\u00e9 dans la Blockchain\u00bb, a d\u00e9clar\u00e9 Parker. \u00ab\u00a0Et cela repr\u00e9sente vraiment une opportunit\u00e9 de r\u00e9duire consid\u00e9rablement les pertes dans les cha\u00eenes de valeur de l’industrie en r\u00e9duisant r\u00e9ellement les co\u00fbts de transaction.\u00a0\u00bb<\/p>\n

Les DSI doivent donc trouver un \u00e9quilibre entre la priorit\u00e9 donn\u00e9e \u00e0 la s\u00e9curit\u00e9 et la n\u00e9cessit\u00e9 de partager des donn\u00e9es au sein de consortiums et de march\u00e9s. Mais les DSI doivent \u00e9galement rechercher des moyens de r\u00e9duire les co\u00fbts de transaction au sein des consortiums. Or, \u00e9tant donn\u00e9 le besoin pr\u00e9visible de talents et la quantit\u00e9 disponible de comp\u00e9tences, il est n\u00e9cessaire d\u2019embaucher t\u00f4t.<\/p>\n

30% des fabricants et d\u00e9taillants permettront la tracabilit\u00e9 compl\u00e8te des produits<\/h3>\n

La deuxi\u00e8me pr\u00e9diction IDC concernant la blockchain est la suivante. \u00ab\u00a0D’ici 2021, environ 30% des fabricants et des d\u00e9taillants du monde entier auront instaur\u00e9 la confiance num\u00e9rique via des services de blockchain bas\u00e9s sur des cha\u00eenes d’approvisionnement collaboratives permettant aux consommateurs d’acc\u00e9der aux historiques des produits.\u00a0\u00bb<\/p>\n

Les avantages vont bien au-del\u00e0 de la r\u00e9duction des co\u00fbts de transaction. C’est l’exp\u00e9rience client qui s’entrouvre am\u00e9lior\u00e9e.<\/p>\n

\u00abLes consommateurs sont de plus en plus sceptiques quant \u00e0 la l\u00e9gitimit\u00e9 des affirmations des d\u00e9taillants et des fabricants de biens de consommation\u00bb, a expliqu\u00e9 Parker. \u201cQue signifie \u201c totalement naturel \u201d? Que signifie vraiment \u00ab\u00a0origine durable\u00a0\u00bb? Bien s\u00fbr il existe certaines normes, mais il y a beaucoup de latitude. La Blockchain offre aux entreprises la possibilit\u00e9 de satisfaire les attentes des clients en mati\u00e8re de tra\u00e7abilit\u00e9.<\/p>\n

Par exemple, Bumble Bee Foods<\/a> permet de tracer le poisson depuis le p\u00eacheur jusqu’\u00e0 la table du restaurant. En outre, la tra\u00e7abilit\u00e9 pr\u00e9sente d’autres avantages, tels que la r\u00e9duction du co\u00fbt des rappels. Et pour les articles de grande valeur, il existe un potentiel de solutions anti-contrefa\u00e7on.<\/p>\n

Quels sont les risques en mati\u00e8re de s\u00e9curit\u00e9?<\/h2>\n

Le mois dernier, l\u2019\u00e9quipe de s\u00e9curit\u00e9 de Coinbase<\/a> a remarqu\u00e9 quelque chose d\u2019\u00e9trange dans Ethereum Classic<\/a>, l\u2019une des crypto-monnaies que les internautes peuvent acheter et vendre \u00e0 l\u2019aide de la plateforme d\u2019\u00e9change de Coinbase. Sa blockchain, l’historique de toutes ses transactions, \u00e9tait sous le coup d’une attaque.<\/p>\n

La double d\u00e9pense<\/h4>\n

Un pirate avait en sorte pris le contr\u00f4le de plus de la moiti\u00e9 de la puissance de calcul du r\u00e9seau et l\u2019utilisait pour r\u00e9\u00e9crire l\u2019historique de sa transaction. Cela lui permettait de d\u00e9penser plus d’une fois la m\u00eame crypto-monnaie. C’est ce qu’on appelle la \u00abdouble d\u00e9pense\u00bb( \u00ab\u00a0double spending\u00a0\u00bb en anglais). Le cyber-criminel a \u00e9t\u00e9 rep\u00e9r\u00e9 en train de d\u00e9tourner environ 1,1 million de dollars. Coinbase affirme que rien n’a finalement \u00e9t\u00e9 vol\u00e9 dans aucun de ses comptes. Une deuxi\u00e8me plateforme tr\u00e8s populaire, Gate.io, a admis<\/a> n’avoir pas \u00e9t\u00e9 aussi chanceuse. Elle aurait ainsi perdu environ 200 000 dollars au profit de l\u2019attaquant. Celui-ci, \u00e9trangement, en aurait restitu\u00e9 la moiti\u00e9 deux jours plus tard.<\/p>\n

Il y a tout juste un an, ce sc\u00e9nario catastrophe \u00e9tait consid\u00e9r\u00e9 comme de la science-fiction. Cependant la soi-disant attaque \u00e0 51% contre Ethereum Classic n’est, en fait, que la derni\u00e8re d’une s\u00e9rie ce cyber-attaques r\u00e9centes contre les cha\u00eenes de blocs (blockchains), qui ont \u00e9lev\u00e9 le niveau des enjeux pour le secteur naissant.<\/p>\n

Au total, les pirates informatiques ont vol\u00e9 pr\u00e8s de 2 milliards de dollars de crypto-monnaie depuis le d\u00e9but de 2017. Ceci concerne principalement les \u00e9changes. C’est du moins ce qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 publiquement. Cela ne peut pas non plus \u00eatre l’oeuvre \u00a0d’attaquants solitaires opportunistes. La soci\u00e9t\u00e9 d’analyse Chainalysis<\/a> a r\u00e9cemment d\u00e9clar\u00e9 que deux groupes, apparemment toujours actifs, pourraient, \u00e0 eux seuls avoir, vol\u00e9 un montant cumul\u00e9 d’un milliard de dollars dans les \u00e9changes.<\/p>\n

Un processus connu<\/h4>\n

Nous ne devrions pas \u00eatre surpris. Les blockchains sont particuli\u00e8rement attrayantes pour les voleurs. En effet, il est impossible d’inverser les transactions frauduleuses, comme cela est souvent le cas dans le syst\u00e8me financier traditionnel. De plus elles garantissent un anonymat complet, mettant ainsi les cyber-criminels \u00e0 l’abri d’une possible identification. \u00a0En outre, nous savons depuis longtemps que, bien que les cha\u00eenes de blocs aient des fonctionnalit\u00e9s de s\u00e9curit\u00e9 uniques, elles comportent aussi des vuln\u00e9rabilit\u00e9s uniques. Les slogans marketing et les gros titres qui parlaient d’une technologie \u00abinviolable\u00bb sont donc totalement faux.<\/p>\n

Cela a \u00e9t\u00e9 compris, du moins en th\u00e9orie, depuis l’apparition du Bitcoin, dans la derni\u00e8re d\u00e9cennie. Mais c’est au cours de l\u2019ann\u00e9e \u00e9coul\u00e9e, face \u00e0 l\u2019explosion des nouveaux projets de crypto-monnaie, que nous avons commenc\u00e9 \u00e0 voir ce que cela signifiait dans la pratique, et en quoi ces faiblesses intrins\u00e8ques pourraient affecter l\u2019avenir des blockchains et des actifs num\u00e9riques.<\/p>\n

Comment pirater une blockchain?<\/h2>\n

Avant d\u2019aller plus loin, essayons de mettre quelques d\u00e9finitions sur les termes.<\/p>\n

Le fonctionnement d’une blockchain?<\/h3>\n

Une blockchain<\/strong> est une base de donn\u00e9es cryptographique g\u00e9r\u00e9e par un r\u00e9seau d’ordinateurs, chacun d’entre eux stockant une copie de la version la plus r\u00e9cente. Un protocole de cha\u00eene de blocs<\/strong> est un ensemble de r\u00e8gles qui dictent la mani\u00e8re dont les ordinateurs du r\u00e9seau, appel\u00e9s des\u00a0noeuds<\/strong>, doivent v\u00e9rifier les nouvelles transactions et les ajouter \u00e0 la base de donn\u00e9es. Le protocole utilise la cryptographie, la th\u00e9orie des jeux et des consid\u00e9rations \u00e9conomiques pour inciter les n\u0153uds \u00e0 s\u2019efforcer de s\u00e9curiser le r\u00e9seau au lieu de l\u2019attaquer \u00e0 leurs propres fins. S’il on le configure correctement, ce syst\u00e8me peut rendre extr\u00eamement difficile et co\u00fbteuse l’ajout de fausses transactions. Mais, \u00e0 l’inverse, la v\u00e9rification des transactions valides est relativement facile.<\/p>\n

Les avantages d’une cha\u00eene de blocs<\/h4>\n

C\u2019est ce qui rend cette technologie si attrayante pour de nombreuses industries, \u00e0 commencer par la finance. Les services qui seront lanc\u00e9s prochainement par des institutions aussi renomm\u00e9es<\/a> que Fidelity Investments et Intercontinental Exchange, propri\u00e9taire de la Bourse de New York, commenceront \u00e0 enchev\u00eatrer des cha\u00eenes de blocs dans le syst\u00e8me financier existant. M\u00eame les banques centrales envisagent maintenant de les utiliser pour de nouvelles formes num\u00e9riques de monnaie nationale.<\/p>\n

Mais plus un syst\u00e8me de blockchain est complexe, plus il y a de risques de faire des erreurs lors de son installation. Plus t\u00f4t ce mois-ci, la soci\u00e9t\u00e9 en charge de Zcash, une crypto-monnaie utilisant des calculs extr\u00eamement compliqu\u00e9s pour permettre aux utilisateurs d’effectuer des transactions priv\u00e9es, a r\u00e9v\u00e9l\u00e9 qu’elle avait secr\u00e8tement corrig\u00e9 une \u00ab\u00a0faille cryptographique<\/a>\u00a0\u00bb int\u00e9gr\u00e9e accidentellement au protocole. Un attaquant aurait pu l’exploiter pour cr\u00e9er un nombre illimit\u00e9 de Zcash contrefaits. Heureusement, personne ne semble l’avoir fait avant la correction de la faille.<\/p>\n

Qu’en est-il de la s\u00e9curit\u00e9?<\/h4>\n

Cependant, le protocole n\u2019est pas la seule chose \u00e0 s\u00e9curiser. Pour n\u00e9gocier vous-m\u00eame une crypto-monnaie ou ex\u00e9cuter un n\u0153ud, vous devez utiliser un logiciel client. <\/strong>Or, celui-ci\u00a0peut \u00e9galement contenir des vuln\u00e9rabilit\u00e9s. En septembre, les d\u00e9veloppeurs du principal client de Bitcoin, appel\u00e9 Bitcoin Core, ont d\u00fb se d\u00e9brouiller pour corriger un bug (\u00e9galement en secret). Celui-ci aurait pu permettre \u00e0 des attaquants de cr\u00e9er plus de bitcoins que ce que le syst\u00e8me n’est cens\u00e9 autoriser.<\/p>\n

Malgr\u00e9 tout, la plupart des piratages r\u00e9cents qui ont fait les gros titres n\u2019ont pas attaqu\u00e9 les cha\u00eenes de block proprement dites. Ils se sont port\u00e9s sur les \u00e9changes<\/strong>, les plateformes Web sur lesquels les gens ach\u00e8tent \u00e9changent et d\u00e9tiennent des crypto-monnaies. Et beaucoup de ces \u00e9l\u00e9ments pourraient \u00eatre responsables de mauvaises pratiques de s\u00e9curit\u00e9 de base. Cela a chang\u00e9 en janvier avec l’attaque de 51% contre Ethereum Classic.<\/p>\n

Les attaques \u00e0 51%<\/h3>\n

La vuln\u00e9rabilit\u00e9 aux attaques \u00e0 51% est inh\u00e9rente \u00e0 la plupart des crypto-devises. C\u2019est parce que la plupart sont bas\u00e9es sur des blockchains qui utilisent la preuve de travail comme protocole de v\u00e9rification des transactions. Dans ce processus, appel\u00e9 minage (mining en anglais), les n\u0153uds d\u00e9pensent une grande quantit\u00e9 de puissance de calcul pour prouver qu’ils sont suffisamment dignes de confiance pour ajouter des informations sur les nouvelles transactions \u00e0 la base de donn\u00e9es.<\/p>\n

Le principe de l’attaque<\/h4>\n

Un mineur qui contr\u00f4le d’une mani\u00e8re ou d’une autre la majorit\u00e9 de la puissance de minage du r\u00e9seau peut frauder d’autres utilisateurs en leur envoyant des paiements, puis en cr\u00e9ant une version alternative de la blockchain dans laquelle les paiements ne se sont jamais produits. Cette nouvelle version s’appelle un fork. L’attaquant, qui contr\u00f4le plus de la moiti\u00e9 de la puissance de minage, peut alors faire de la branche fork la version faisant autorit\u00e9 de la cha\u00eene. Il peut alors proc\u00e9der une seconde fois \u00e0 la m\u00eame utilisation de la m\u00eame crypto-monnaie.<\/p>\n

Pour les cha\u00eenes de blocs populaires, tenter ce type de vol serait probablement extr\u00eamement co\u00fbteux. Selon le site Web Crypto51, louer suffisamment d’\u00e9nergie de minage pour attaquer Bitcoin co\u00fbterait actuellement plus de 260 000 dollars par heure. Mais le co\u00fbt diminue rapidement \u00e0 mesure que vous descendez dans la liste comportant plus de 1 500 crypto-monnaies disponibles. La chute du prix des pi\u00e8ces le rend r\u00e9duit encore les co\u00fbts. En effet, elle oblige alors les mineurs \u00e0 \u00e9teindre leurs machines, laissant ainsi les r\u00e9seaux moins prot\u00e9g\u00e9s.<\/p>\n

Un type d’attaque qui risque de se multiplier<\/h4>\n

Vers le milieu de 2018, les assaillants ont commenc\u00e9 \u00e0 lancer des attaques \u00e0 51% sur une s\u00e9rie de crypto-monnaies relativement petites et peu \u00e9chang\u00e9es, notamment Verge, Monacoin et Bitcoin Gold. Ils ont ainsi r\u00e9ussi vol total estim\u00e9 \u00e0 20 millions de dollars. \u00c0 l\u2019automne, les cyber-criminels ont vol\u00e9 environ 100 000 $ en utilisant une s\u00e9rie d\u2019attaques contre une devise appel\u00e9e Vertcoin. La cyber-attaque contre Ethereum Classic \u00e9tait la premi\u00e8re ciblant l’une des 20 devises les plus populaires. Elle a rapport\u00e9 plus d\u2019un million de dollars aux cyber-criminels.<\/p>\n

David Vorick, cofondateur de la plate-forme de stockage de fichiers Sia, bas\u00e9e sur une cha\u00eene de blocs, pr\u00e9dit que la fr\u00e9quence et la gravit\u00e9 des attaques \u00e0 51% continueront d’augmenter, et que les \u00e9changes subiront les cons\u00e9quences des doubles d\u00e9penses. Selon lui, l\u2019un des \u00e9l\u00e9ments moteurs de cette tendance a \u00e9t\u00e9 la mont\u00e9e des soi-disant march\u00e9s hashrate. Ceux-ci permettent aux cyber-criminels de louer de la puissance de calcul pour leurs attaques. \u00abAu final, les \u00e9changes devront \u00eatre beaucoup plus restrictifs lors de la s\u00e9lection des crypto-monnaies \u00e0 prendre en charge\u00bb, a \u00e9crit Vorick apr\u00e8s le piratage Ethereum Classic.<\/p>\n

Un nouveau r\u00e9servoir de vers<\/h3>\n

Outre les attaques \u00e0 51%, il existe d\u00e9sormais une nouvelle vuln\u00e9rabilit\u00e9 en mati\u00e8re de s\u00e9curit\u00e9 dans la blockchain. Et les chercheurs commencent tout juste \u00e0 explorer ses implications. Cela porte sur les bugs li\u00e9s aux contrats intelligents. Par co\u00efncidence, l’origine d’Ethereum Classic constitue un bon point de d\u00e9part pour mieux comprendre ce dont il s’agit.<\/p>\n

Les contrats intelligents<\/h4>\n

Un contrat intelligent est un programme informatique qui s’ex\u00e9cute sur un r\u00e9seau de cha\u00eene de blocs. Il peut \u00eatre utilis\u00e9 pour automatiser le mouvement de la crypto-monnaie conform\u00e9ment aux r\u00e8gles et aux conditions prescrites. Cela a de nombreuses utilisations potentielles, telles que la facilitation de contrats l\u00e9gaux r\u00e9els ou de transactions financi\u00e8res compliqu\u00e9es. Une autre utilisation consiste \u00e0 cr\u00e9er un m\u00e9canisme de vote permettant \u00e0 tous les investisseurs d\u2019un fonds de capital-risque de d\u00e9cider collectivement de la mani\u00e8re dont l\u2019argent sera r\u00e9parti.<\/p>\n

Une telle organisation porte le nom de\u00a0Decentralized Autonomous Organization<\/b>\u00a0(DAO<\/b>\u00a0ou en fran\u00e7ais \u00ab\u00a0Organisation Autonome D\u00e9centralis\u00e9e<\/b>\u00a0\u00bb). Il s’agit d’une organisation fonctionnant gr\u00e2ce \u00e0 un programme informatique qui fournit des r\u00e8gles de gouvernance \u00e0 une communaut\u00e9. Ces r\u00e8gles sont transparentes et immuables car inscrites dans un r\u00e9seau de cha\u00eene de blocs. Elles s’appuient sur une technologie de stockage et de transmission d\u2019informations, transparente, s\u00e9curis\u00e9e, et fonctionnant sans organe central de contr\u00f4le<\/p>\n

Un tel fonds, a \u00e9t\u00e9 cr\u00e9\u00e9 en 2016 \u00e0 l’aide d’un syst\u00e8me de cha\u00eene de blocs appel\u00e9 Ethereum. Peu de temps apr\u00e8s, un attaquant a vol\u00e9 plus de 60 millions de dollars de crypto-monnaie en exploitant une faille impr\u00e9vue dans un contrat intelligent r\u00e9gissant la DAO. La faille permettait au pirate informatique de continuer \u00e0 demander de l’argent \u00e0 des comptes sans que le syst\u00e8me n’enregistre que l’argent avait d\u00e9j\u00e0 \u00e9t\u00e9 retir\u00e9.<\/p>\n

Comme le montre cette attaque, un bug dans un contrat smart live peut cr\u00e9er un type d’urgence unique. Dans les logiciels traditionnels, On peut corriger un bug gr\u00e2ce \u00e0 un correctif. Dans le monde de la blockchain, ce n\u2019est pas si simple. Les transactions sur une cha\u00eene de blocs ne peuvent pas \u00eatre annul\u00e9es. D\u00e9ployer un contrat intelligent, c’est un peu comme lancer une fus\u00e9e, explique Petar Tsankov, chercheur \u00e0 l’ETH Zurich et cofondateur de la startup de s\u00e9curit\u00e9 des contrats intelligents appel\u00e9e ChainSecurity. \u00ab\u00a0Le logiciel n’a pas le droit \u00e0 l’erreur\u00a0\u00bb<\/p>\n

Comment corriger les failles dans une cha\u00eene de blocs<\/h4>\n

Il existe cependant quelque chose qui peut s’apparenter \u00e0 des correctifs. Bien qu\u2019ils ne puissent pas \u00eatre patch\u00e9s, certains contrats peuvent \u00eatre \u00abmis \u00e0 niveau\u00bb. Cette mise \u00e0 niveau se fait en d\u00e9ployant des contrats intelligents suppl\u00e9mentaires qui vont interagir avec eux. Les d\u00e9veloppeurs peuvent \u00e9galement cr\u00e9er des commutateurs de neutralisation centralis\u00e9s sur un r\u00e9seau pour arr\u00eater toute activit\u00e9 d\u00e8s la d\u00e9tection d’un piratage. Mais pour les utilisateurs aucune annulation de transaction n’est possible. Et donc, pour l’argent qui leur aura d\u00e9j\u00e0 \u00e9t\u00e9 vol\u00e9, il sera trop tard.<\/p>\n

La seule fa\u00e7on de r\u00e9cup\u00e9rer l’argent consiste \u00e0 r\u00e9\u00e9crire l’historique. C’est \u00e0 dire \u00e0 revenir au point situ\u00e9 sur la blockchain avant l’attaque. Il faut alors cr\u00e9er un fork pour une nouvelle cha\u00eene de blocs et demander \u00e0 tous les utilisateurs du r\u00e9seau de l’utiliser. C\u2019est ce que les d\u00e9veloppeurs d\u2019Ethereum ont choisi de faire. La plupart des membres de la communaut\u00e9, mais pas tous, se sont tourn\u00e9s vers la nouvelle cha\u00eene, que nous connaissons maintenant sous le nom d’Ethereum. Un groupe plus restreint de d\u00e9tenteurs est rest\u00e9 sur la cha\u00eene d’origine, qui est devenue Ethereum Classic.<\/p>\n

Le mois dernier, l\u2019\u00e9quipe de Tsankov chez ChainSecurity a sauv\u00e9 Ethereum d\u2019une possible r\u00e9p\u00e9tition de la catastrophe de DAO. A la veille d’une importante mise \u00e0 niveau logicielle pr\u00e9vue, la soci\u00e9t\u00e9 a inform\u00e9 les principaux d\u00e9veloppeurs d\u2019Ethereum que cela aurait pour cons\u00e9quence de laisser certains contrats sur la cha\u00eene de blocs d\u00e9sormais vuln\u00e9rables au m\u00eame type de bug qui a conduit au piratage de DAO. Les d\u00e9veloppeurs ont rapidement report\u00e9 la mise \u00e0 niveau et feront une nouvelle tentative plus tard ce mois-ci.<\/p>\n

Les risques li\u00e9s aux cha\u00eenes de blocs<\/h4>\n

N\u00e9anmoins, selon Victor Fang, cofondateur et PDG de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Anchain.ai, blockchain, des centaines de contrats intelligents Ethereum \u00e9taient d\u00e9j\u00e0 vuln\u00e9rables \u00e0 ce soi-disant virus de la r\u00e9entrance. Selon des recherches effectu\u00e9es l’ann\u00e9e derni\u00e8re, des dizaines de milliers de contrats pourraient contenir un autre type de vuln\u00e9rabilit\u00e9. Et la nature m\u00eame des cha\u00eenes de blocs publiques signifie que, si un bug de contrat intelligent existe, les pirates le trouveront, car le code source est souvent visible sur la cha\u00eene de blocs. \u00abCela est tr\u00e8s diff\u00e9rent de la cybers\u00e9curit\u00e9 traditionnelle\u00bb, d\u00e9clare Fang, qui travaillait auparavant pour la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 FireEye.<\/p>\n

Les contrats de buggy, en particulier ceux qui d\u00e9tiennent des milliers ou des millions de dollars, ont attir\u00e9 des pirates informatiques aussi avanc\u00e9s que ceux qui s\u2019attaquent aux banques ou aux gouvernements. En ao\u00fbt, AnChain a identifi\u00e9 cinq adresses Ethereum derri\u00e8re une attaque extr\u00eamement sophistiqu\u00e9e qui exploitait une faille contractuelle dans un jeu populaire pour voler 4 millions de dollars.<\/p>\n

Comment contrer les cyber-criminels?<\/h3>\n

AnChain.ai est l’une des nombreuses entreprises r\u00e9centes cr\u00e9\u00e9es pour faire face \u00e0 la menace de piratage de la blockchain. Il utilise l’intelligence artificielle pour surveiller les transactions et d\u00e9tecter les activit\u00e9s suspectes. Il peut \u00e9galement analyser le code du contrat intelligent pour rechercher les vuln\u00e9rabilit\u00e9s connues.<\/p>\n

Des pistes sont en train d’appara\u00eetre<\/h4>\n

D\u2019autres soci\u00e9t\u00e9s, y compris la cha\u00eene de s\u00e9curit\u00e9 de Tsankov, d\u00e9veloppent des services d\u2019audit bas\u00e9s sur une technique informatique bien connue appel\u00e9e v\u00e9rification formelle. L\u2019objectif est de prouver math\u00e9matiquement que le code d\u2019un contrat fera r\u00e9ellement ce que ses cr\u00e9ateurs ont voulu. Ces outils d\u2019audit, qui ont commenc\u00e9 \u00e0 faire leur apparition au cours de la derni\u00e8re ann\u00e9e environ, ont permis aux cr\u00e9ateurs de contrats intelligents d\u2019\u00e9liminer bon nombre des bugs qui avaient \u00e9t\u00e9 \u00ab\u00e0 port\u00e9e de main\u00bb, a d\u00e9clar\u00e9 Tsankov. Mais le processus peut \u00eatre co\u00fbteux et prendre du temps.<\/p>\n

Il pourrait \u00e9galement \u00eatre possible d\u2019utiliser des contrats intelligents suppl\u00e9mentaires pour mettre en place des \u00abprimes de bogues\u00bb bas\u00e9es sur une cha\u00eene de blocs. Cela encouragerait les utilisateurs \u00e0 signaler les d\u00e9fauts en \u00e9change d\u2019une r\u00e9compense de crypto-monnaie, explique Philip Daian, chercheur \u00e0 l\u2019Initiative pour les cryptomonnaies et les contrats de la Cornell University.<\/p>\n

N’est-ce pas d\u00e9j\u00e0 trop tard?<\/h4>\n

Mais s’assurer que le code est propre n’ira que tr\u00e8s loin. Apr\u00e8s tout, une blockchain est un syst\u00e8me \u00e9conomique complexe. Celui-ci d\u00e9pend du comportement impr\u00e9visible des humains, et les gens rechercheront toujours de nouvelles fa\u00e7ons de le jouer. Daian et ses coll\u00e8gues ont montr\u00e9 comment les attaquants avaient d\u00e9j\u00e0 compris comment tirer profit des contrats populaires. C’est ce qui se passa avec Ethereum, par exemple.<\/p>\n

Conclusion<\/h2>\n

Si on vante la technologie de la blockchain pour sa s\u00e9curit\u00e9, elle est toutefois tr\u00e8s vuln\u00e9rable dans certaines conditions. Parfois, une mauvaise ex\u00e9cution peut \u00eatre en cause ou des bugs logiciels non intentionnels. D\u2019autres fois, c\u2019est plus une zone grise. C’est le r\u00e9sultat complexe des interactions entre le code, l\u2019aspect \u00e9conomique de la blockchain et la cupidit\u00e9 humaine. C\u2019est th\u00e9oriquement connu depuis le d\u00e9but de la technologie. Maintenant que tant de blockchains existent dans le monde, nous apprenons ce que cela signifie r\u00e9ellement. Mais souvent l’apprentissage se fait \u00e0 la dure.<\/p>\n

 <\/p>\n

Partager\u00a0:<\/h3>