Webbplatser använder din webbläsare för att bryta krypto. Det kan vara bra

Namnet säger allt: WannaMine. Panda, ett bilbao, Spanien-baserat cybersecurity-företag, skrev i början av februari att "en ny skadlig variant har tagit över datorer runt om i världen och kapat dem för att bryta en cryptocurrency som heter Monero."

Viruset påminner om WannaCry, en mask som svepte världen i maj 2017, som krypterade infekterade systems data och kräver betalningar för bitcoinlösen för att dekryptera den. Men WannaMine tar ett annat tillvägagångssätt för att vrida cryptocurrency ur sina offer: det använder sina maskiner bearbetningskraft för att köra en algoritm som heter CryptoNight om och om igen, i hopp om att hitta en hash som uppfyller vissa kriterier innan några andra gruvarbetare gör det. När det händer bryts ett nytt block, vilket skapar en bit av ny monero - värd cirka 1 500 dollar i skrivande stund - och deponerar vindfallet i angriparens plånbok.

Chansen att en given gruvarbetare hittar nästa block först och får belöningen är liten, men smittar tillräckligt med CPU: er och du kan hacka ihop en anständig inkomstström. Eftersom offret betalar elräkningarna och tillhandahåller hårdvaran är kostnaderna för angriparen försumbar. (Se även, Hur fungerar Bitcoin Mining? )

"Ett bevis på begreppet"

Den 11 februari avslöjades en liknande men ganska mer spektakulär attack. Cybersecurity-forskare Scott Helme och Ian Thornton-Trump (phat_hobbit) märkte att webbplatser från Storbritanniens National Health Service till de amerikanska domstolarna kapade besökarnas webbläsare för att bryta monero.

Ummm, så ja, det här är * dåligt *. Jag hade precis @phat_hobbit påpekat att @ICOnews har en kryptominer installerad på deras webbplats ... pic.twitter.com/xQhspR7A2f
- Scott Helme (@Scott_Helme) 11 februari 2018

Den skyldige var ett text-till-tal-plugin populärt hos Anglophone-regeringar som kallas Browsealoud, som hade infekterats med Coinhive, en monero-gruvdrift i webbläsaren som inte nödvändigtvis är skadlig programvara i sig: Dess leverantörer presenterar det som ett legitimt sätt att tjäna pengar på trafik, men ställer sina användare alltför få frågor, enligt Moderkort.

Hittills, så 2018. Men något är av. Angriparna gjorde ingenting: cirka 24 dollar, som inte ens betalades ut, berättade Coinhive till Motherboard. Och som Helme påpekade, attacken kunde ha varit mycket värre: "Attackers hade en godtycklig injektion av manus på tusentals webbplatser inklusive många NHS-webbplatser här i England." De kunde ha stulit båtlaster av extremt värdefull personuppgifter. Men de gjorde det inte.

Med tanke på deras valda attackmetod borde angriparna ha valt högre trafik, mindre granskade, lägre säkerhetsmål: porrwebbplatser är populära bland kryptominister eftersom de passar dessa kriterier.

Det verkar som kaparna inte var att tjäna pengar. Som Wired Storbritanniens Matt Burgess uttryckte det - parafraserade Malwarebytes analytiker Chris Boyd - kanske de "skapade ett proof-of-concept istället."

Krypterar stör annonsmodellen?

Vilket koncept som kan vara, angav Boyd inte. "Låt oss se vilken typ av galna saker som kan göras med dessa skript, " föreställde han sig hackarna säga.

Men Lucas Nuzzi, senioranalytiker på Digital Asset Research, har en idé. "Webbläsarbaserade gruvarbetare som Coinhive är den bästa implementeringen av användbara PoW [bevis på arbete] som finns", tweetade han. "För första gången i internetets historia har webbplatser ett sätt att tjäna pengar på innehåll utan att behöva bombardera användare med annonser."

Potentialen är inte begränsad till annonsbaserade modeller, antingen:

2 \ Dessa gruvarbetare kan implementeras med mindre än 20 kodrader. Wikipedia behöver inte be om donationer om de implementerade en webbläsarbaserad gruvarbetare.
- Lucas Nuzzi (@LucasNuzzi) 15 februari 2018

Webbläsarbrytning har potential att störa nuvarande intäktsmodeller för leverantörer av webbinnehåll. Internetannonser - som är irriterande, ofta har skadlig kod och som stöder en datainsamlingsbransch som komprometterar användarnas integritet och säkerhet - kan förflyttas till en bärande roll. Donationer - som, bedömt av tenor av Wikipedia grunder, inte skär det - kan också blekna i betydelse. (Se även Blockchain kan göra dig - inte Equifax - ägaren av dina data. )

Tyvärr fortsätter Nuzzi, hackare slår ansedda webbplatser till stansen, som länkar webbläsarbrytning med skadlig programvara i allmänhetens fantasi och "krossar hoppet om antagande av ansedda webbplatser som Wikipedia."

Salongen tar steget

Kanske, men åtminstone en ansedd webbplats om det kämpar har tagit steget. Salon har samarbetat med Coinhive, och den 11 februari - dagen för Browsealoud-debakelet - började det fråga besökare med hjälp av annonsblockerare om de vill "blockera annonser genom att låta Salon använda din outnyttjade datorkraft." FAQ-sidan förklarar att detta betyder gruvdrift, även om den inte nämner sin nu beryktade partner med namn. (Se även Salon Vill använda din dator för Cyrptocurrency Mining. )

För att bedöma användarupplevelsen aktiverade jag ett par annonsblockerare, besökte Salon och gick med på att "undertrycka annonser." Det fungerade inte. Hemsidan blev halvt ogenomskinlig och orolig, som ibland händer när en obligatorisk pop-up döljs av en ad-blockerare (att ha en adblockerare är en nödvändig förutsättning för att välja cryptominer). Efter en viss fiol - den typ som skulle ha lett till att jag bläddrade någon annanstans under normala omständigheter - gruvde jag Monero i utbyte mot att skära liberal kommentar.

Jag såg inga annonser, men jag körde självklart annonsblockerare. Sidan laddade hela tiden vissa element, vilket fick texten att hoppa runt med några sekunder. Det var svårt att läsa. Lite misstänksamt räknade mina annonsblockerares räknare upp till 11 och 29, vilket indikerar förfrågningar blockerade, med varje omlastning.

Jag gruvade utan tvekan. Innan jag besökte sidan visade min Macbooks aktivitetsmonitor ingen applikation som använder mer än 10% av CPU. Under mitt besök varierade Chrome Helper från 50% eller så upp till - vid en tidpunkt - 320%. Kroms energipåverkan spikades också till tredubbla siffror; 12-timmarsgenomsnittet är 46.

Ett e-postmeddelande till Salons PR-företag med frågan om utloppets upplevelse med webbläsarbrytning fick inte ett omedelbart svar. Den här artikeln kommer att uppdateras för att återspegla Salons svar.

Kan webbläsarbrytning fungera?

Mitt korta möte med webbläsarbrytning avslöjade vilken typ av hicka som är typiska för betaversioner. Men strömförbrukning är ett hinder som mindre förbättringar inte löser. Bitcoin gruvarbetare flockar till Quebec eftersom elen är billig. Kapare bryter med besökares webbläsare av samma anledning. Det är svårt att uppskatta den monetära effekten av gruvdrift på Salons vägnar, men ökningen av elförbrukningen var uppenbar. Om en betydande del av webben antog webbläsarbrytning kan det bli dyrt att använda internet.

Detsamma gäller för hårdvaruanvändning. WannaMine presenterade ett sådant problem eftersom, som Panda uttryckte det, "det sätt på vilket den försöker utnyttja processorn och RAM-minnet maximalt placerar datorn under stor belastning." Såvida webbplatser inte begränsar de krav de ställer på besökarnas datorer, kommer processerna att sakta till en genomsökning och hårdvara kommer att slitna upp betydligt snabbare.

Nuzzi rabatterar inte dessa problem. "Om webbläsarbaserad gruvdrift blir en sak kommer det definitivt att bli missbruk när det gäller antalet gruvtrådar som webbplatsen förbrukar, " sa han via e-post. Å andra sidan, "som annonser, kommer det att finnas sätt att blockera det som krypterar, så webbplatser måste ta reda på vad den rättvisa balansen ska vara, annars kommer användare att sluta besöka webbplatsen eller blockera gruvarbetaren."

När det gäller elanvändning har monero's hash-funktion CryptoNight en lättare touch än, till exempel, bitcoin's SHA-256. Monero-gruvdrift "är inte ett stort problem för bärbara datoranvändare", säger Nuzzi, men "det säger verkligen vissa användningsfall för smarta telefoner" med sin mer begränsade batterikapacitet.

Då finns risken att hash rate arms race, som har gjort CPU och till och med GPU-gruvdrift av bitcoin och litecoin olönsamt, kommer att stanna i webbläsars gruvdrift. Anledningen till att Coinhive och WannaMine använder monero är att det är en av de enda kryptokurser som kan brytas med lönsamhet med en CPU. Med tanke på de rätta ekonomiska incitamenten, kunde inte monero också bli offer för ASIC: er, specialiserad hårdvara utformad enbart för att köra genom hashfunktioner så snabbt som möjligt?

Nuzzi tror inte det. Han kallar CryptoNight "briljant designad" och lägger till att den "gör det möjligt att bryta Monero med olika enheter, inklusive smartphones, eftersom majoriteten av dem har minst 2 GB RAM, medan bara 2 MB krävs för att initiera en CryptoNight-instans. för Scrypt (Litecoins konsensusalgoritm) är CryptoNight mycket mer motståndskraftig mot kretsintegration, vilket gör det möjligt att bygga ASIC: er.

Moneros utvecklare har också lovat att ändra algoritmen om en ASIC utvecklas. "Tillverkare som Bitmain skulle aldrig fördela FoU-budgeten för att utveckla en Monero ASIC med tanke på denna risk", säger Nuzzi. (Se även Bitcoin mot Litecoin: Vad är skillnaden? )

Lång förfallen

Om kryptomining förskjuter annonser som det primära sättet att tjäna pengar på onlineinnehåll, skulle det vara uppfyllandet av ett av cryptocryptos tidigaste löften.

Argumentet om att bitcoin-mikrobetalningar till webbplatser skulle kunna störa den nuvarande modellen blev offer för stigande transaktionsavgifter, men andra försök har gjorts med hjälp av andra symboler, till exempel den annonsblockerande modiga webbläsarens grundläggande uppmärksamhetstoken. Men så länge som att finansiera en plånbok och kompensera webbplatser vars annonser du blockerar förblir valfria - som det är i Modigt - verkar modellen osannolikt att ge webbplatser de intäkter de behöver. (Modigt, sägs det, föreställer sig en plats för annonsörer på sin plattform.)

Det finns ingen garanti för att webbläsarnas gruvdrift kommer att komma ihåg, eller att effekten på användarnas utrustning och elräkningar inte kommer att bli ett avtal. Det finns dock en chans att irriterande, påträngande, ibland skadliga annonser - eller programmen du använder för att blockera dem - är på väg ut.

Att investera i cryptocurrencies och andra initiala mynterbjudanden ("ICOs") är mycket riskabelt och spekulativt, och den här artikeln är inte en rekommendation från Investopedia eller författaren att investera i cryptocurrencies eller andra ICOs. Eftersom varje individs situation är unik, bör en kvalificerad professionell alltid konsulteras innan några ekonomiska beslut fattas. Investopedia lämnar inga garantier för riktigheten eller aktualiteten av informationen i denna. Från och med det datum då denna artikel skrevs, har författaren ingen position i några kryptokurser.