HLF_TxTime_spoofing

HLF_TxTime_spoofing - Hyperledger Fabric 블록체인에서 트랜잭션 시간 조작(GetTxTimestamp() 또는 GetHistoryForKey() 사용) 문제를 다루는 PoC입니다. v 2.5.5 및 v3.0.0-beta에서 테스트되었습니다.

프로젝트는 여러 부분으로 구성됩니다:

1. time_insecure - 예치금에서 이자를 계산하기 위해 GetTxTimestamp()를 사용하는 취약한 체인코드 변형
2. time_secure_ntp - 예치금 이자 계산 시 공격자의 시간 스푸핑을 방지하기 위해 NTP(Network Time Protocol) 서버에서 시간을 획득하는 체인코드.
3. time_secure_nts - 예치금 이자 계산 시 공격자의 시간 스푸핑을 방지하기 위해 NTS(Network Time Security) 서버에서 시간을 획득하는 체인코드.
4. time_secure_localtime - 예치금에서 이자를 계산할 때 공격자의 시간 스푸핑을 방지하기 위해 스마트 계약이 실행되는 OS의 시간을 사용하는 체인코드 모든 경우(즉, 각 체인코드)에서 예치금은 연 20%의 이자를 지급합니다.

비즈니스 로직의 동작을 이해하는 데 도움이 되는 추가 함수: CalcDividents() - 주어진 일수와 초기 예치 금액에 대해 누적된 배당금을 반환합니다 subtractTimestamp() - 현재 시간과 초기 예치 시점 간의 차이를 반환합니다

time_insecure 워크플로우

Stake_insecure()를 호출하여 초기 예치 금액으로 예치금을 추가합니다. CheckDividents_insecure()를 호출하여 예치 금액이 변경되지 않았는지 확인합니다. 클라이언트에서 로컬 시간을 변경한 후 CheckDividents_insecure()를 다시 호출합니다.

금융 공격: 시간을 1년 앞으로 옮기면 연 20%의 이자를 얻을 수 있었습니다.

성공적인 금융 공격

동일한 방식으로 GetHistoryForKey()에서도 트랜잭션 시간이 조작될 수 있음을 확인할 수 있습니다.

time_secure_ntp 워크플로우

이 체인코드 변형에서는 트랜잭션 시간을 NTP(Network Time Protocol) 서버에서 수신한 시간과 대조합니다(ntp 클라이언트 패키지 사용). 각 체인코드는 배포를 위해 자체 NTP 서버 주소를 가집니다(즉, 서로 다른 체인코드 패키지). 시간 편차가 발생하면 "wrong time" 오류가 표시됩니다. NTP 트래픽 데이터는 스푸핑될 수 있습니다(데이터가 평문으로 전송됨).