검수요청.png검수요청.png

피니 공격

위키원
이동: 둘러보기, 검색

피니 공격(Finney Attack)이란 이중지불의 레이스 어택을 조금 더 발전시킨 공격 유형이다. 이 공격을 위해서는 공격자가 직접 채굴을 해야 한다. 공격자는 채굴에 성공했을 경우, 생성할 블록에 본인 코인을 본인의 지갑으로 보내는 전송 내역을 포함시킨다. 공격자는 이 블록을 네트워크에 전파시키지 않고 기다린다. 그동안 공격자는 본인 지갑으로 보내는 코인을 이용해 타겟과 서비스 거래를 시도한다. 이때 타겟이 해당 코인의 또 다른 0 컨펌(Confirm) 내역이 있는지 확인하더라도 공격자의 의도를 파악하기 어렵다. 타겟이 0 컨펌 내역을 믿고 서비스 거래를 완료하면, 공격자는 본인의 블록을 네트워크에 전파시킨다. 공격자 본인의 지갑으로 보내는 내역은 1 컨펌이 되고, 타겟과 거래한 내역은 여전히 0 컨펌이므로 이후 타겟과의 거래내역은 취소된다. 피니 어택은 레이스 어택보다 강력하지만, 공격자가 어느 정도의 리스크를 가진다. 만일 공격자가 본인의 블록을 네트워크에 전파시키기 전에 제 3자가 블록을 채굴해버릴 경우 피니 어택은 실패한다. 이 경우 공격자는 블록 채굴 보상만큼의 손실을 보게 된다.

개요

피니 공격은 최초로 공개키 암호화 기법을 도입한 PGP 개발자 중 한 명인 할 피니(Hal Finney)가 비트코인 포럼에서 처음 언급하여 그의 이름을 따서 명명되었다.[1] 피니 공격은 이중지불 공격의 변형이다. 공격자는 두 가지 트랜잭션을 만든다. 하나는 피해자를 신용하고 다른 하나는 자신을 신용한다. 그들은 첫 번째 거래를 유지하고 두 번째 거래를 한 블록으로 채굴하려고 시도한다. 그들이 성공하면 첫 거래로 빠르게 구매하고 구매한 상품을 얻은 다음 사전 채굴 블록을 해제한다. 이렇게 하면 첫 번째 트랜잭션이 전체 네트워크를 통해 전파되더라도 첫 번째 트랜잭션이 무효가 된다. 피니 공격은 실행하기가 어렵지만 완전히 실행되기 전까지는 탐지할 수 없다. 이러한 공격으로부터 자신을 보호하는 유일한 방법은 구매한 상품을 제공하기 전에 거래에 대해 확인을 하나 이상 요구하고 더 가치 있는 거래에 대해 추가 확인을 요구하는 것이다.[2]

특징

  • 판매자가 확인되지 않은 거래를 수락한 경우에만 작동한다.
  • 판매자가 네트워크의 모든 사람이 자신의 지불에 동의했는지 확인하기 위해 몇 초 동안 대기하는 경우에도 여전히 작동한다.
  • 공격자는 자신의 블록 컨텐츠를 채굴하고 제어해야 한다. 그러나 이론적으로는 해시 레이트, 특히 네트워크 해시 레이트의 50 %보다 훨씬 적은 해시율로 이를 수행할 수 있다.

피니 공격은 다음과 같이 진행된다.

  1. 마이너가 공격자 지갑 주소(A)에서 또 다른 공격자 지갑 주소(B)로 보내는 트랜잭션을 포함한 신규 블록을 생성(채굴)하고 이를 브로드캐스트 하지 않고 있는다.
  2. 공격자의 지갑 주소(A)에서 피해자의 지갑 주소(C)로 지불하며, 환전이나 물건을 구입하거나 서비스를 받고 떠난다.
  3. 마이너가 신규 블록을 브로드캐스트하면 미확인 트랜잭션(A→C)을 무효로 한다.

공격자가 지불을 보내고 판매자가 승인할 때까지 블록을 찾는데 걸리는 시간이 t이고 블록을 찾는 평균 시간이 T 인 경우이 블록에서 다른 블록이 네트워크에서 발견될 가능성은 t / T입니다 시각; 이 경우 공격은 실패, 그리고 공격자는 B의 블록 보상을 잃게 된다. 이는 공격 시도의 평균 비용이 약 (t / T) * B임을 의미한다. 경험상, 상인은 적어도 t = V * T / B (V는 거래의 가치)를 기다려서 그에 대한이 공격을 시도하는 것이 수익성이 없는지 확인해야 한다. 민첩한 공격자가 여러 공격에 동일한 블록을 사용하여 잠재적으로 총 가치를 얻을 수 있기 때문에 이것은 충분하지 않을 수 있다. 공격자의 해시율이 낮을수록 공격을 수행할 기회가 줄어든다. 공격이 일부 비유동 상품을 얻기 위한 것이라면, 이 상품에 대한 필요성이 블록을 찾는 것과 일치하는 것은 어렵다. 액체가 무언가를 얻기 위한 공격이라면 (예 : 비트코인을 다른 돈으로 교환) 기회는 항상 존재하지만, 상인은 몇 가지 확인을 요구할 것이다. 이로 인해 실제로 공격을 사용하기가 어렵다.[2] 피니 어택에는 하드웨어 마이닝과 완벽한 타이밍이 필요하기 때문에 이 또한 어지간해서는 해내기 힘들다.

대안

비트코인 초창기 시절에는 새로운 블록을 생성하는 채굴 난이도가 낮았기 때문에 이런 방식을 시도할 수 있었지만, 현재의 채굴 난이도와 해시파워를 생각했을 때에는 시도조차 못 할 공격 방법이다. 새로운 블록을 만드는 과정이 어렵고 새로운 블록을 생성한 대가의 '보상'이 경제적으로 더 이득이며 거래에 큰 금액을 지불해야 한다면 충분히 확인 하고 돈을 지불할 것이기 때문이다. 또한 타임스탬프상의 순간적인 하드포크를 이용한 이 공격 방법은 일시적으로 이중지불이 성공한 것으로 보일 수 있지만, 곧 다른 노드들에게 적발되게 되며, 전송은 무효화 된다.

각주

  1. ↑ 어미새, 〈할 피니(Hal Finney) & 피니어택에 관한 개념정리.〉, 《네이버 블로그》, 2018-03-16
  2. ↑ 2.0 2.1 Murch, 〈What is a Finney attack?〉, 《StackExchange》, 2012-10-04

참고자료

같이 보기


  검수요청.png검수요청.png 이 피니 공격 문서는 보안에 관한 글로서 검토가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 검토·수정해 주세요.  

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인
보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성
취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커
개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명
양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴
보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD)
위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반
원본 주소 "http://wiki1.kr/index.php?title=피니_공격&oldid=552290"