XRPL-studie tilt aanvalsdrempel fors op, maar er zit een addertje onder het gras
Twee extra willekeurige peerverbindingen per node kunnen in een simulatie het verschil maken tussen 11% en 38% van het netwerk moeten uitschakelen.
Nieuw onderzoek naar de XRP Ledger vindt daarmee een opvallend simpele verdediging tegen gerichte netwerkaanvallen. Alleen draait de spectaculaire winst op een kaart van XRPL uit 2022, met gesimuleerde validatorrollen.
Onderzoekers richten aanval op verbindingspunten
De nieuwe preprint verscheen op 26 augustus onder de titel Improving the Robustness of the XRP Ledger Network via Edge Augmentation Strategies.
Onderzoekers van onder meer Carnegie Mellon University, NOVA University Lisbon en de Universiteit van Porto kijken niet naar het kraken van XRP-wallets.
Ze onderzoeken de peer-to-peer-structuur van de XRP Ledger.
Daar bewegen berichten tussen nodes en validators door het netwerk.
Als te veel belangrijke routes wegvallen, kunnen vertrouwde validators elkaar moeilijker bereiken. Dan kan consensus stilvallen zonder dat een aanvaller de cryptografie achter XRP heeft gebroken.
XRPL heeft 80% van vertrouwde validators nodig
Iedere XRPL-server kiest welke validators hij vertrouwt via een Unique Node List, oftewel UNL.
De officiële XRPL-documentatie legt uit dat normaal minimaal 80% van de vertrouwde validators overeenstemming moet bereiken.
Wanneer meer dan ongeveer 20% langdurig niet bereikbaar of onbruikbaar wordt, kan een server geen normaal quorum meer halen.
Dat betekent niet dat zomaar 20% van alle nodes uitzetten voldoende is om XRPL te stoppen.
Welke nodes verdwijnen, welke validators worden geraakt en hoe de overgebleven verbindingen lopen, maakt juist het verschil.
Precies daar richt de studie zich op.
Netwerk uit 2022 had duidelijke centrale knooppunten
De onderzoekers gebruiken data uit eerder academisch onderzoek.
Twee maanden lang werd in 2022 ieder uur een momentopname van het XRP Ledger-netwerk verzameld. Dat leverde 1.290 snapshots op.
Voor de nieuwe simulaties kozen de onderzoekers één opname die statistisch het dichtst bij het gemiddelde van die volledige dataset lag.
Die kaart bevatte:
- 952 nodes;
- 15.070 verbindingen;
- gemiddeld 31,7 verbindingen per node.
De best verbonden node had 342 connecties.
Dat verschil is relevant, omdat sterk verbonden nodes als verkeersknooppunten kunnen functioneren.
Aanvaller hoeft validators niet rechtstreeks te raken
De onderzoekers simuleren twee gerichte aanvalsmethodes.
Bij de eerste worden nodes met de meeste verbindingen als eerste verwijderd.
Bij de tweede kijkt de aanvaller naar betweenness centrality.
Dat meet hoe vaak een node op belangrijke routes tussen andere nodes ligt.
Een node hoeft dus niet de meeste rechtstreekse peers te hebben om toch belangrijk te zijn voor de verbinding tussen verschillende delen van het netwerk.
Opvallend: het model gaat ervan uit dat de aanvaller validators zelf niet rechtstreeks kan aanvallen.
De aanval richt zich op de verbindende nodes eromheen.
Twee willekeurige verbindingen veranderen het model fors
Daar tegenover zetten de onderzoekers verschillende verdedigingsstrategieën.
De beste heet random K-out augmentation.
Bij K=2 krijgt iedere deelnemende node twee nieuwe peers, willekeurig gekozen uit het netwerk.
Bestaande verbindingen blijven gewoon bestaan.
Daardoor ontstaan extra routes rond de centrale knooppunten.
Bij 60% deelname en K=2 steeg de gemodelleerde grens voor het breken van het validatorquorum bij een high-degree-aanval van 11% naar 38% van de nodes.
Bij de betweenness-aanval ging de grens van 12% naar 33%.
Dat is bijna een verdrievoudiging.
Ook het bredere netwerk wordt moeilijker te splitsen
De onderzoekers meten daarnaast algemene netwerkrobustheid.
Daarbij kijken ze wanneer de grootste verbonden groep tot minder dan de helft van het oorspronkelijke netwerk is teruggebracht.
Met dezelfde configuratie — 60% deelname en twee extra peers — steeg die aanvalsdrempel van 19% naar 35% bij de high-degree-aanval.
Bij de tweede aanval ging hij van 18% naar 34%.
Het patroon is dus hetzelfde.
Een klein aantal willekeurige routes vermindert de afhankelijkheid van de bestaande centrale knooppunten.
Waarom willekeur juist helpt
Het principe lijkt op een wegennet.
Wanneer vrijwel alle routes via enkele grote knooppunten lopen, kan het afsluiten van die punten hele regio's isoleren.
Bouw verspreid kleine alternatieve wegen en het verkeer krijgt omwegen.
Bij een peer-to-peer-blockchain werkt hetzelfde principe.
De onderzoekers testten ook simpelweg willekeurige extra verbindingen en een model waarbij populaire nodes juist nóg vaker een nieuwe connectie krijgen.
Die laatste aanpak presteerde slechter.
Dat is logisch: extra verbindingen naar nodes die al centraal staan maken het netwerk opnieuw afhankelijk van precies de machines waarop de aanval zich richt.
Volledig netwerk hoeft niet mee te doen
Een interessant resultaat is dat 100% deelname niet noodzakelijk is.
De onderzoekers testten scenario's waarbij 20%, 40%, 60%, 80% of alle nodes meedoen.
Juist de 60%-test met slechts twee extra peers geeft al een groot verschil.
Dat maakt het idee operationeel aantrekkelijker dan een aanpak waarbij iedere nodeoperator tegelijk software of configuraties moet aanpassen.
Maar “eenvoudig in een simulatie” is nog geen bewijs dat dezelfde stap op mainnet zonder nadelen werkt.
De 11% is géén actuele kwetsbaarheid van XRPL
Hier zit de belangrijkste grens van het onderzoek.
De studie zegt niet:
“Een aanvaller kan vandaag 11% van de XRP Ledger uitschakelen en het netwerk stilleggen.”
Die conclusie zou fout zijn.
De 11% komt uit een specifiek computermodel met een netwerkkaart uit 2022, een gekozen aanvalsmethode en aanvullende aannames.
Ook de 38% na de aanpassing hoort uitsluitend bij datzelfde model.
De cijfers zijn waardevol om twee ontwerpen onder gelijke omstandigheden te vergelijken.
Ze zijn geen actuele handleiding voor het aanvallen van XRPL-mainnet.
De onderzoekers weten niet welke nodes validators waren
Er zit nog een tweede belangrijke beperking in de dataset.
De historische netwerkdata vermeldt niet welke nodes daadwerkelijk validators waren.
Daarom wijzen de onderzoekers in iedere simulatie willekeurig 34 nodes aan als validators.
Dat getal sluit aan op het aantal validators op de aanbevolen UNL tijdens de oorspronkelijke meetperiode.
Voor het quorum gebruiken zij vervolgens 80%, oftewel minimaal 28 van die 34 validators die binnen één verbonden component moeten blijven.
Daarmee modelleren ze het consensusprobleem.
Ze reconstrueren niet exact wie in 2022 daadwerkelijk welke validator vertrouwde.
Alternatieve validatorkeuzes veranderden conclusie niet volledig
De onderzoekers hebben dat probleem wel getest.
Naast volledig willekeurige selectie voerden zij simulaties uit waarin goed verbonden nodes juist vaker validator werden.
Ook testten ze het tegenovergestelde: nodes met weinig verbindingen kregen meer kans om als validator te worden gekozen.
De precieze cijfers veranderen daarbij.
Volgens de auteurs blijft de hoofdconclusie wel overeind: random K-out maakt de gesimuleerde topologie duidelijk weerbaarder tegen de onderzochte gerichte aanvallen.
Dat maakt de methode interessanter.
Het verwijdert de onzekerheid rond echte validatoridentiteiten alleen niet.
Het huidige XRPL kan er totaal anders uitzien
Vier jaar is lang voor een actief peer-to-peer-netwerk.
Nodes verdwijnen.
Nieuwe servers komen erbij.
Operators veranderen hun peering.
Recommended validator lists veranderen eveneens.
De huidige XRPL-documentatie over UNL's beschrijft bovendien twee standaard aanbevolen validatorlijsten, gepubliceerd door de XRP Ledger Foundation en Ripple.
De netwerkstructuur waarop die validators vandaag communiceren kan daardoor aanzienlijk afwijken van de topologie uit 2022.
Een nieuwe meting is nodig om te weten of dezelfde centrale knooppunten en aanvalsdrempels nog bestaan.
De studie is nog geen peer-reviewed eindpunt
Ook de publicatiestatus telt.
Het onderzoek staat op arXiv als preprint.
Dat maakt het openbaar en controleerbaar, maar publicatie op arXiv betekent op zichzelf niet dat een tijdschrift of wetenschappelijke conferentie het werk formeel heeft beoordeeld.
De simulaties kunnen dus worden gereproduceerd en bekritiseerd voordat een eventuele peer review is afgerond.
De auteurs helpen daarbij.
Andere onderzoekers kunnen daardoor dezelfde methodes op nieuwe data loslaten.
Meer peers zijn niet gratis
Ook technisch bestaan mogelijke nadelen.
Iedere extra verbinding betekent dat een node meer peers moet onderhouden.
Dat vraagt extra verbindingen, geheugen, bandbreedte en verwerking van netwerkverkeer.
Bij twee extra peers per node kan die belasting beperkt zijn.
Maar de studie meet vooral robuustheid van de grafiek. Een productietest moet ook kijken naar latency, firewallinstellingen, maximale peercapaciteit en gedrag tijdens echte storingen.
Daarnaast kunnen willekeurige nieuwe verbindingen hun eigen veiligheidsvragen opleveren.
Een node wil niet alleen méér peers.
Hij wil ook voorkomen dat een aanvaller een groot deel van zijn verbindingen controleert.
Random K-out verslaat ingewikkelder herbedraden
De onderzoekers vergelijken hun aanpak met eerder voorgesteld rewiring.
Daarbij worden bestaande verbindingen verwijderd en vervangen om de structuur minder afhankelijk te maken van centrale nodes.
Dat kan werken.
Het verandert alleen veel meer aan het oorspronkelijke netwerk.
Random K-out laat bestaande routes staan en voegt nieuwe toe.
Bij hoge deelname konden drie extra verbindingen per deelnemende node volgens de studie resultaten halen die gelijk waren aan of beter waren dan veel uitgebreidere rewiring.
Ook bleef de nieuwe topologie volgens de Jaccard-meting veel dichter bij het oorspronkelijke netwerk.
Dat is technisch aantrekkelijk: meer weerstand zonder het hele verbindingsmodel opnieuw te tekenen.
Voor XRP draait dit niet om tokenomics
Voor XRP-houders verandert door de publicatie zelf niets.
Er komt geen nieuw aanbod bij.
Er verandert geen transactiekost.
En er is geen protocolupgrade geactiveerd.
Het onderzoek zit een laag dieper: hoe moeilijk is het om communicatie tussen de machines achter het netwerk doelgericht te verstoren?
Dat wordt relevanter naarmate XRPL meer wordt gebruikt voor betalingen, tokenisatie en financiële toepassingen.
Een financieel netwerk kan cryptografisch veilig zijn en toch problemen krijgen wanneer zijn communicatieroutes te afhankelijk zijn van een klein aantal knooppunten.
De volgende test heeft eigenlijk maar één vereiste
De studie levert daarom vooral een duidelijke vervolgvraag op.
Herhaal dezelfde metingen met het XRP Ledger van 2026.
Als een actuele netwerkkaart opnieuw laat zien dat twee of drie willekeurige extra verbindingen de aanvalsdrempel fors verhogen, wordt random K-out veel interessanter als praktische verdediging.
Blijkt XRPL sinds 2022 al veel minder afhankelijk van centrale verbindingspunten, dan kunnen de spectaculaire winstpercentages juist flink kleiner worden.
Dat maakt 11% naar 38% geen bewijs van een huidige zwakke plek.
Het is iets nuttigers: een aanwijzing dat een verrassend kleine verandering in netwerkverbindingen onder bepaalde omstandigheden een groot verschil kan maken.
Nu moet alleen nog worden bewezen dat het netwerk waarop die oplossing is getest nog lijkt op het XRPL dat vandaag draait.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
