Vitalik 新文：后深度伪造时代下如何保证信息安全？

撰文：Vitalik Buterin

编译：Luccy，BlockBeats

编者按：2 月 4 日，一家跨国公司的一名财务人员在视频电话会议中被骗 2500 万美元，诈骗者利用深度伪造技术冒充该公司首席财务官。起初，这名员工收到一条据称来自该公司驻英国首席财务官的消息后怀疑是一封网络钓鱼电子邮件，因为它谈到需要进行秘密交易。然而在视频通话后，这名员工放下了最初的疑虑，因为其他出席的人看起来和听起来都像他认识的同事，但实际上所有人都是深度伪造的娱乐产品。

对此，Vitalik 认为加密并不能解决所有问题，他指出利用人类天生擅长记忆的信息基础，设置安全问题值得将其纳入除其他保护层之外的工作流程中。但他也同时表示，虽然安全问题很有用，但目前还不够人性化。BlockBeats 将原文编译如下：

特别感谢 Hudson Jameson、OfficerCIA 和 samczsun 的反馈和审查。

最近一周有一篇文章在流传，讲述一家公司因一名财务工作人员被骗向假冒成首席财务官的骗子汇款而损失了 2500 万美元，而这似乎是通过一次非常逼真的深度伪造（Deepfake）视频通话实施的。

最近，深度伪造技术（即由人工智能生成的假音频和视频）在加密货币领域以及其他领域越来越频繁地出现。在过去几个月里，我的深度伪造视频被用来兜售各种骗局和狗狗币。深度伪造的质量正在迅速提高，虽然 2020 年的深度伪造视频非常糟糕，但最近几个月已经越来越难以区分。熟悉我的人仍然可以识别出我兜售狗币的视频是假的，因为视频中的我在说「let's f***ing go」，而我只使用「LFG」表示「looking for group」，但只听过我几次声音的人可能会很容易上当。

我向安全专家提及上述 2500 万美元被盗的情况，他们一致认为这是企业运营安全在多个层面上出现的异常而尴尬的失败，标准做法是在批准任何近似该数额的转账之前需要多个层次的签署。但仍然存在这样一个事实：截至 2024 年，一个人的音频甚至视频流已不再是确认其身份的安全方式。

这引发了一个问题：什么才是安全的身份验证方式？

仅仅依靠加密方法并不能解决问题

能够安全地验证人们的身份对于各种情况下的各种人都很重要：个人需要恢复其多重签名或社交恢复钱包、企业需要批准商业交易、个人需要批准用于个人用途的大额交易（例如投资初创企业、购买房屋、发送汇款），无论是使用加密货币还是法定货币，甚至是家庭成员在紧急情况下需要相互验证。因此，我们需要一个良好的解决方案，能够应对即将到来的深度伪造视频时代。

在加密货币圈，我经常听到的对这个问题的一个回答是：「你可以通过提供你的 ENS / 人类证明配置文件 / 公共 PGP 密钥的地址的加密签名来验证自己」。这个答案很吸引人。然而，它完全忽略了为什么在签署交易时让其他人参与是有用的。假设你代表拥有个人多重签名钱包的个人用户，并且你正在发送一个需要一些共同签署者批准的交易。他们什么情况下会批准？当他们确信你是真正想要进行转账的人时。如果他们判断交易者是一个盗取了你的密钥的黑客，或者一个绑匪，他们不会批准交易。在企业环境中，通常会有更多层次的防御措施；但即便如此，攻击者可能会冒充经理，并且不仅仅是最终请求，还涉及审批过程中的早期阶段。他们甚至可能通过提供错误的地址劫持正在进行的合法请求。

因此，在许多情况下，其他签署者接受你用你的密钥签名来确认「你是你」的做法就毁了整个目的：它将整个合约变成了一个 1 对 1 的多重签名，只需要控制你的单个密钥就能窃取资金！

这就是我们得出的一个实际有些意义的答案：安全问题。

安全问题

假设有人发短信给你，声称是你的朋友某某。他们用你以前从未见过的帐户发短信，声称已经丢失了所有设备。你如何确定他们是否是本人？

有一个显而易见的答案：询问只有他们才会知道的事情，这些事应该与下列有关：

你知道的

你期望他们记得的

互联网不知道的

难以猜测的

理想情况下，即使是那些已经入侵了企业和政府数据库的人也不知道的

自然而然地问他们关于共同经历的事情，比如：

我们上次见面时，在哪家餐馆吃晚饭了，你吃了什么食物？

我们的哪个朋友说过一个古代政治家的笑话？是哪位政治家？

我们最近看的那部电影你不喜欢吗？

上周你建议我和某某聊一下，看看他们是否可以帮助我们 XXX 的研究？

最近有人用来验证我身份的安全问题的实际示例