İş unvanı “kriptograf” olan her kişi, gerçek insanların gerçek nesneleri korumak için kullandığı kriptografik algoritmaları üretecek kadar nitelikli veya yetenekli değildir.
Çok sayıda Web3 ekibi, seleflerimizin onlarca yıldır uyardığı şeyi yapıyor: Kripto Kışı’nın karları erirken ve çok sayıda tohum turu filizlenirken kendi kripto para birimlerini geliştiriyorlar.
Bu bağlamda “kripto”, kredi kartlarını, interneti ve iyi bilinen Web3 protokollerini koruyan matematiksel yöntemleri ve yazılımı içeren kriptografiyi ifade eder.
Kriptografiyi sıradan uygulamalar geliştirmekten ayıran şey nedir?
Bunu şu şekilde düşünün. Kısa bir süre önce teknoloji meraklısı kedilerin kuş videoları izleyebileceği yeni ve trend bir platform yarattıysanız, bu platformun %99,9 oranında çalışması sizi muhtemelen çok mutlu edecektir. Ancak, bunun yerine yeni kripto para cüzdanını yarattıysanız, iddia edilen hırsızlıklardan %99,9 oranında kaçınmanın işe yaramayacağı açıktır: Saldırganlar, kullanıcılarınızın tüm parasını alana kadar peşinizi bırakmayacaktır. Bir ödeme söz konusu olduğunda, azim değerlidir.
Ne yazık ki, bilgisayar güvenliği ikonu Bruce Schneier’in dediği gibi, “En cahil amatörden en iyi kriptografiye kadar herkes kendisinin kıramayacağı bir algoritma yaratabilir”. Schneier’e göre, başkalarının alt edemeyeceği sistemler yaratmak işin zor kısmı. Web3 geliştiricileri, deneyimsizliklerinden (ve meşgul denetçilerden) cesaret alarak kendi kripto para birimlerini geliştirmeye devam ediyor. Sonuç ne mi oluyor?
Hatalı kriptografik uygulamalar
Kriptografide kullanılan algoritmalar oldukça hassastır. Bir algoritma kötü uygulanırsa, yaygın olarak anlaşılmış ve güvenli olsa bile kolayca kırılabilir.
Geçtiğimiz iki yıl içinde bir ders kitabındaki hata nedeniyle çalınan yüz binlerce doları düşünün: saldırganlar için tahmin yapmayı kolaylaştıran öngörülebilir bir şekilde gizli kodlar üretmek. Bunlardan kaçınmak kriptografi mühendisliğinin temel bir ilkesi olsa da, yine de zaman zaman bu sorunlarla karşılaşıyoruz.
Ancak her hatayı düzeltmek o kadar kolay değildir. Tüm kriptograflar mühendislik geçmişine sahip değildir ve bazılarının farkına varmak için mühendislik sezgisi ve bilgisi gerekir. Web2 ve Web3 kripto kodu ve hatta muhtemelen kripto kodunun nasıl yazılacağını açıklayan makaleler üretmiş olan uygulamalı kriptograflar ve kripto mühendisliği uzmanları, ince uygulama sorunlarına aşinadır. Öte yandan teorik kriptograflar teoride bilgilidirler ancak kodların nüanslarıyla çok daha az ilgilenirler.
Kısaca söylemek gerekirse, dikkatli olun: “Kriptograf” olduğunu iddia eden herkes, gerçek insanların gerçek nesneleri korumak için kullandığı kriptografik kodu oluşturacak kadar nitelikli veya deneyimli değildir.
Kriptonuzu üretirken başarısız dağıtımlar
Bir sistem kavramsal olarak sağlam ve iyi yürütülmüş olsa bile kötü uygulanabilir.
2022’de 500 milyon dolardan fazla zarar eden Ronin Köprüsü’nü düşünün. Dokuzda beş çoğunluk oyu kullanıcı finansmanını korumak içindi, ancak bir dizi korkunç derecede kötü dağıtım seçimi nihayetinde onu çökertti. Nihayetinde, bir şirket (Sky Mavis) dokuz oylama anahtarından beşine erişim sağladı ve bu da saldırganların tek bir hack ile oyların çoğunu çalmasını mümkün kıldı.
Kriptografi teorisi ve mühendisliğine ek olarak, saldırganları engelleyen güvenli sistem tasarımı ve dağıtımı, Web 3’te bazen göz ardı edilen bir beceridir. Muhtemelen bu nedenle Ronin saldırısının ardından “daha fazla ademi merkeziyetçilik” konusunda ahkam kesen uzmanlar hedefi tamamen ıskaladılar. Sorun sayı değil nitelikti.
Zararlı karmaşıklık
Son olarak, Web3’e özgü bir hastalık tüm durumu daha da kötüleştiriyor: “tamamen homomorfik şifreleme”, “çok partili hesaplama” veya “sıfır bilgi kanıtları” gibi en son moda kriptografi terimlerinin karmaşık cevaplar gerektirmeyen sorunlara gereksiz yere uygulanmasıyla meşgul olmak. Bu tür çok heceli kripto ağırlıkları sadece olgunlaşmamış olmakla kalmaz, aynı zamanda daha kırılgan ve doğru kullanımı zordur. Dahası, genellikle bu iş için en iyi araç oldukları için değil, daha ziyade dikkat çekmek ve yatırım yapmak için kullanılırlar.
Bunda yanlış olan ne olabilir? Bir peyzajcı orkide dikmek için bir beko ile gelse ve komşunun köpeği küçük bir kazada yaralansa elbette bazı endişeleriniz olurdu. Muhtemelen peyzaj uzmanının jargon dolu yanıtını da onun derin orkide ustalığının kanıtı olarak görmezdiniz.
Web3’te de aynı şey geçerlidir. Kendinize sorun: Grup, büyük silahlara ihtiyaç duyduklarını, özellikle de daha basit hiçbir şeyin bu sorunu çözemeyeceğini açıkça belirtti mi? Satış konuşması temelde “bloktaki en güçlü kriptografiye sahibiz ”den biraz daha fazlasını ileten bir teknik gevezelik olduğunda bunu dikkate almak önemlidir. Tipik yanıt hayırdır.
Bir kez daha söylüyoruz: Kripto para ile kumar oynamayın! Bir projeye kriptografik sırlarınızı ya da daha kötüsü kullanıcılarınızın sırlarını emanet etmeden önce “Hakkımızda” sayfasını gözden geçirerek işe başlayın.
Ek olarak, eğer ekip ürünlerinin sıradan insanların anlayamayacağı kadar karmaşık olduğuna inanıyor gibi görünüyorsa ya da güvenlik sorularınıza verilen yanıtların sinyal/belirsizlik oranı düşükse, başka bir yer arasanız iyi olur.