出版を脅かし、支払い時に検証可能に削除するランサムウェアは可能ですか？

Question

記事ランサムウェアの未来と検証可能なキー配信を備えたランサムウェアの可能性の説明に触発されて、支払いが行われない限り公開を確実に脅かすが、検証可能に破壊するランサムウェアにアイデアをさらに取り入れることができるかどうか疑問に思います支払いを受け取った場合のデータ。

最初にいくつかの（おそらく完全に合理的ではない）仮定を立てましょう：

攻撃者は、セキュリティコミュニティの試みにもかかわらず、インターネットに接続された感染したコンピュータから、たとえばグローバルに10ギガビット/秒の速度でデータを盗み出すのに十分なネットワークリソース（つまり、すべての被害者の帯域幅を合わせたもの）とリソースの制御を維持できますその接続を介してダウンロードされたすべてのデータを保存します。
攻撃者は、恐喝に値するファイルを検出するための適切なヒューリスティックを持っています。アイデアは、ダウンロードされたデータのほとんどすべてがWindowsスワップファイルのように価値のないジャンクになるのを避けることです。（ただし、セキュリティコミュニティが、ヒューリスティックをトリガーするように設計されたジャンクを意図的にフィードすることを回避することはおそらく不可能です。）

十分に意欲的な攻撃者が、最新のCPU「セキュアエンクレーブ」テクノロジーを使用してランサムウェアを開発することは可能でしょうか。ファイルを暗号化して攻撃者に送信するイーサリアムですが、攻撃者が選択できるのはどちらかファイルを復号化するまたは支払いを受け取ることだけですが、両方ではありませんか？

たとえば、攻撃者がバックエンドコンピュータで実行するエンクレーブを検証可能に作成して、内部で安全に作成されたアカウントに転送された資金を解放したり、ファイルを復号化したり、そのエンクレーブにランサムウェアを証明させることができますか？他の人がその機能を確認できるように、そのエンクレーブで実行されているコードを公開するには？

Out of Band · Answer

あなたが情報を知らないことを証明することは不可能だと思います。

支払いを受け取った後にファイルを公開しないことを保証するために、攻撃者はデータの復号化キーを持っていないことを証明する必要があるため、これはあなたの質問に関連しています。

攻撃者がdidそのキーにアクセスできる瞬間があったので（彼がハードドライブ上のデータを暗号化したとき）、攻撃者は自分が作成できなかったことを確実に証明する必要があります。キーのコピー。

彼がそれを行うことができたいくつかの瞬間があります。最初に、彼はあなたのデータをバックエンドに盗み出している間、秘密チャネルを使用してあなたのマシンから別の場所に暗号化キーのコピーを送信することができました。

第二に、彼はあなたが支払いをした後に実行される復号化ルーチンに少しのコードを埋め込むことができ、それはその時または後で彼に復号化キーを送ります。

第三に、彼はあなたと彼の安全な飛び地の間の真ん中に男を設置し、あなたのマシンと彼の飛び地の間のトラフィックを傍受することができました。彼の「中間者」は実際には（彼にとって）友好的だったので、彼はあなたと彼のエンドポイントの間のトラフィックを暗号化するために使用される暗号化キーをそれに提供することができました、そしてあなたはそれが監査できるコード。

第4に、セキュリティエンクレーブで実行されているコードが監査用に提供されたものであるという証拠を彼が提供したとしても、a）実際にコードを監査して、キーやデータ、およびb）彼がネットワーク接続の反対側に座っている限り、彼が実際に彼の側に持っていたものが、あなたが必要とするセキュリティ保証を備えた安全な飛び地であり、単なる偽装ではないことをどのように確信できますか？ 1？あなたはおそらくデジタル署名を考えているでしょう、そして私は「複雑なシステム、おそらく欠陥がある」と考えています。

Philipp · Answer

これがどのように可能になるのか、私にはわかりません。データのコピーがある場合、ネガティブを証明することはできないため、そのデータの他のコピーが存在しないことを証明する方法はありません。この場合、ネガティブであることを証明しようとすると、これまでに構築されたすべてのストレージメディアを説明し、攻撃者ではない誰かが所有しているか、現在この情報が含まれていないことを証明することになります。そして、それは実行不可能であるだけでなく、攻撃者の匿名化も必要になります。

あなたの戦略は、犯罪者が「はい、あなたのデータのコピーを持っていますが、これから1週間までそのデータにアクセスできず、その後、そのデータは削除されます」と主張することに依存しています。たぶん、この機能を提供し、信頼できるサードパーティのサービスがあります。しかし、犯罪者があなたのデータを剥離してそのサービスに提供する技術的能力を持っていれば、別の場所にコピーを作成することもできたはずです。あなたは情報の知識を証明することはできますが、知識の欠如を証明することはできないので、彼らがそれを反証する方法はありません。そうでなければ、あなたが知っていることを証明してくださいnot私のstackexchangeパスワードを知っています（あなたが私のアカウントにログインしなかったという事実はまだ何も証明していません-あなたは明らかに正しい瞬間を待っています）。

これは、情報を伴う恐喝の一般的な問題です。情報の一部のすべてのコピーが破壊されました。被害者は恐喝者を信頼しなければならないでしょう。しかし、恐喝者はすでに被害者に対して非倫理的に行動しているので、彼らを信頼する理由はありません。したがって、この種の犯罪の唯一の有効な「ビジネス」モデルは、継続的な搾取です。