AI स्लॉप से औपचारिक सत्यापन तक: जैसे-जैसे AI हावी हो रहा है, बग बाउंटी करने के हमारे तरीके बदल रहे हैं

अगले महीने से, Nym अपनी अगली वार्षिक सुरक्षा ऑडिट की तैयारी के लिए हमारा कोड फ्रीज शुरू कर रहा है। हम पूरे नेटवर्क और ऐप्स में पोस्ट-क्वांटम क्रिप्टोग्राफी लागू कर रहे हैं, साथ ही नई कवर ट्रैफ़िक योजनाएँ भी, इसलिए एक नया सुरक्षा ऑडिट आवश्यक है। हर साल हम अपने ऐप्स और कोड की एक स्वतंत्र समीक्षा कराते हैं ताकि यह सुनिश्चित हो सके कि हम नेटवर्क का उपयोग करने वाले लोगों से किए गए गोपनीयता और सुरक्षा के वादों को पूरा कर रहे हैं।

इस ऑडिट के बाद, हम औपचारिक सत्यापन की ओर और आगे बढ़ रहे हैं। वर्तमान में, Claude Fable जैसे AI मॉडल हमलों को ढूंढना आसान बनाते हैं, और हम पा रहे हैं कि हमारे वर्तमान बग बाउंटी प्रोग्राम में ज्यादातर "AI स्लॉप" आ रहा है क्योंकि लोग हमारे कोड पर AI सुरक्षा ऑडिट चलाने की कोशिश कर रहे हैं।

Nym में, हमने वास्तविक बग्स खोजने के लिए अपने कोड पर Claude Fable को निरंतर चलाना शुरू कर दिया है। ZCash Ironwood अपग्रेड की तरह, हमारे कोड को AI द्वारा खोजे जा सकने वाले संभावित बग्स से सुरक्षित रखने का एकमात्र तरीका Nym द्वारा उपयोग किए गए प्रत्येक प्राइमिटिव और प्रोटोकॉल का औपचारिक सत्यापन करना है।

बग बाउंटी प्रोग्राम: क्या बदल रहा है

हमारे अगले सुरक्षा ऑडिट और औपचारिक सत्यापन की ओर हो रहे दृष्टिकोण परिवर्तन की तैयारी में, हम अपने बग बाउंटी प्रोग्राम को वर्तमान स्वरूप में बंद कर रहे हैं।

इसका मतलब है कि हम अब तक चला रहे भुगतान प्रणाली को बंद कर रहे हैं, जिसमें रिपोर्ट की गई समस्या की गंभीरता के आधार पर $NYM टोकन एक निश्चित पैमाने पर भुगतान किए जाते थे। Nym अब केवल गंभीर और महत्वपूर्ण निष्कर्षों के लिए विवेकाधीन आधार पर भुगतान करेगा। हम अभी भी रिपोर्ट स्वीकार कर रहे हैं, और शोधकर्ता जो कुछ भी उन्हें मिले, उसे भेजते रहें। हमारी सुरक्षित आश्रय नीति और जिम्मेदार प्रकटीकरण नियम अभी भी लागू हैं।

वर्तमान दिशानिर्देश हमेशा nym.com/vdp-bbp पर अद्यतित रहते हैं।

हम ऐसा क्यों कर रहे हैं

Nym का कोड ओपन सोर्स है और इसे भरोसे पर लेने के बजाय हर साल स्वतंत्र रूप से समीक्षा किया जाता है।

इस बार जो अलग है वह तरीका है। यह आगामी ऑडिट, जो एक बाहरी सुरक्षा फर्म के साथ आयोजित किया जा रहा है, के लिए हमें ऑडिट शुरू होने से पहले कोड-बेस को स्थिर करने की आवश्यकता है, इसलिए हम अभी बाउंटी पुरस्कारों को रोक रहे हैं। अंत में, एक बग बाउंटी प्रोग्राम और एक गहन ऑडिट एक ही क्षेत्र को कवर करते हैं, और जो रिपोर्ट पहले से ही चल रहे ऑडिट में पकड़ी जा चुकी हैं, वे ज्यादा कुछ नहीं जोड़तीं। हमारी सुरक्षा प्रयासों को ऑडिट और फिर औपचारिक सत्यापन पर केंद्रित करना संसाधनों का बेहतर उपयोग है।

अगला पड़ाव: औपचारिक सत्यापन

इस ऑडिट के बाद, हम अपने साझेदारों के साथ Cryspen में औपचारिक सत्यापन की ओर बढ़ रहे हैं। जहाँ बग बाउंटी और पारंपरिक ऑडिट परीक्षण और समीक्षा के माध्यम से खामियों की तलाश करते हैं, वहीं औपचारिक सत्यापन कोड के व्यवहार के गणितीय प्रमाण उत्पन्न करता है, जिससे यह दिखाया जा सकता है कि सिस्टम के महत्वपूर्ण भाग ठीक वैसे ही व्यवहार करते हैं जैसे इरादा था, और वे कुछ निश्चित कार्य बिल्कुल नहीं कर सकते। यह सुरक्षा इंजीनियरिंग में आश्वासन का उच्चतम मानक है, और यही वह दिशा है जिसमें हमारे जैसे गोपनीयता अवसंरचना को आगे बढ़ना चाहिए।

बेशक, हाल तक Nym जैसे बड़े कोडबेस पर ऐसा करना बहुत समय-साध्य था, लेकिन अब AI उपकरण Nym के मुख्य क्रिप्टोग्राफिक प्राइमिटिव्स और प्रोटोकॉल के लिए बड़े पैमाने पर औपचारिक सत्यापन को संभव बनाते हैं।

औपचारिक सत्यापन के बारे में अधिक जानने के लिए, हमारे सीईओ हैरी हैल्पिन द्वारा लिखा गया A Roadmap for High Assurance Cryptography पढ़ें, जब वह 2017 में Inria de Paris में ** के साथ काम कर रहे थे।कार्तिक भार्गव**, जिन्होंने उन प्रोटोकॉल (जैसे TLS 1.3 और Signal) की औपचारिक सत्यापन का नेतृत्व किया, जिन पर पूरा इंटरनेट निर्भर करता है। कार्तिक भार्गव अब क्राइस्पेन में हैं, हम उनकी टीम के साथ मिलकर Nym की मुख्य क्रिप्टोग्राफी और प्रोटोकॉल का औपचारिक सत्यापन करेंगे।

अब तक हमारे ऑडिट

नेटवर्क के शुरुआती दिनों से Nym और NymVPN को प्रमुख फर्मों और क्रिप्टोग्राफरों द्वारा स्वतंत्र रूप से ऑडिट और समीक्षा किया गया है। यह रिकॉर्ड हमारे ट्रस्ट सेंटर में सार्वजनिक है:

• Cure53 (जुलाई 2024). डॉ. डैनियल ब्लीचेंबाचर सहित एक टीम द्वारा किए गए Nym के मोबाइल और डेस्कटॉप ऐप्स, वीपीएन, नेटवर्क इंफ्रास्ट्रक्चर और क्रिप्टोग्राफी का एक व्यापक ऑडिट। Cure53 ऑडिट देखें।

• ओक सिक्योरिटी (जनवरी 2023). दो ऑडिट: एक नाइम मिक्सनेट और वेस्टिंग कॉन्ट्रैक्ट का, और एक नाइम वॉलेट का।

• डॉ. जेपी ओमासन (सितंबर 2021). क्षेत्र के सबसे प्रसिद्ध क्रिप्टोग्राफरों में से एक द्वारा नेटवर्क की एक प्रारंभिक सुरक्षा समीक्षा।

• Cryspen तकनीकी समीक्षाएँ (2023–2024). डॉ. कार्तिकेयन भारगावन और सहयोगियों द्वारा औपचारिक विधियों का उपयोग करके Nym की वितरित कुंजी उत्पत्ति और Outfox पैकेट प्रारूप की क्रिप्टोग्राफिक समीक्षाएँ।

यह आखिरी बात यहाँ महत्वपूर्ण है: औपचारिक, गणितीय समीक्षा Nym के लिए नई नहीं है। यह अगला ऑडिट उस दृष्टिकोण को सिस्टम के और अधिक हिस्सों में विस्तारित करता है।

इसका आपके लिए क्या मतलब है

उपयोगकर्ताओं के लिए कुछ भी नहीं बदलता, सिवाय इसके कि हमारी सुरक्षा प्रक्रिया और मजबूत हो रही है। आपका NymVPN और नेटवर्क सामान्य रूप से चलते रहते हैं।

सुरक्षा शोधकर्ताओं के लिए, दरवाजा खुला रहता है। यदि आपको कोई भेद्यता मिलती है, तो कृपया उसे security@nym.com पर रिपोर्ट करें, आदर्श रूप से हमारी PGP कुंजी से एन्क्रिप्ट करें, और पुनरुत्पादन के लिए स्पष्ट चरण शामिल करें।

अब पुरस्कार वैकल्पिक हैं, गंभीर और महत्वपूर्ण निष्कर्षों के लिए आरक्षित हैं, लेकिन हर विश्वसनीय रिपोर्ट की फिर भी सराहना की जाती है, उसे ठीक किया जाता है, और यह Nym का उपयोग करने वाले हर व्यक्ति की सुरक्षा में मदद करती है। पूर्ण निर्देश vulnerability disclosure page पर हैं।