HLF_TxTime_spoofing

HLF_TxTime_spoofing - Hyperledger Fabric ブロックチェーンにおけるトランザクション時刻の改ざん（GetTxTimestamp() や GetHistoryForKey() の利用）問題を扱う PoC です。v2.5.5 および v3.0.0-beta でテスト済みです。

このプロジェクトは、以下の複数のパーツで構成されています:

1. time_insecure - GetTxTimestamp() を使用して預金の利息を計算する、脆弱性のあるチェーンコード変種
2. time_secure_ntp - NTP（Network Time Protocol）サーバーから時刻を取得して、預金の利息計算時に攻撃者による時刻偽装を防ぐチェーンコード
3. time_secure_nts - NTS（Network Time Security）サーバーから時刻を取得して、預金の利息計算時に攻撃者による時刻偽装を防ぐチェーンコード
4. time_secure_localtime - スマートコントラクトが実行される OS の時刻を使用して、預金の利息計算時に攻撃者による時刻偽装を防ぐチェーンコード すべての場合（すなわちチェーンコード）において、預金は年 20% です。

ビジネスロジックの動作を理解するための追加関数: CalcDividents() - 指定された日数と初期預金額に対して発生した配当を返します subtractTimestamp() - 現在時刻と初期預金時の時刻との差を返します

time_insecure ワークフロー

Stake_insecure() を呼び出して、初期預金額で預金を追加します。CheckDividents_insecure() を呼び出して、預金額が変更されていないことを確認します。クライアントのローカル時刻を変更し、再度 CheckDividents_insecure() を呼び出します。

金融攻撃: 時刻を 1 年進めることで、年 20% の利息を得ることができました。

金融攻撃の成功

同様に、GetHistoryForKey() でもトランザクション時刻が操作可能であることを確認します。

time_secure_ntp ワークフロー

このチェーンコードの変種では、NTP（Network Time Protocol）サーバーから受信した時刻とトランザクション時刻を照合します（ntp クライアントパッケージを使用）。各チェーンコードは配布用に独自の NTP サーバーアドレスを持ちます（すなわち異なるチェーンコードパッケージ）。時刻にずれがある場合は、「wrong time」というエラーが表示されます。NTP トラフィックのデータは偽装される可能性があることに注意してください（データは平文で送信されます）。

金融攻撃の失敗