Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Juni 2022 lieferten die Projekte Endo und LavaMoat Unterstützung für import.meta, require.resolve und Yarn 3, um die Build-Pipeline zu härten, während MetaMasks Bug-Bounty-Programm auf HackerOne live ging. Auf der Metriken-Seite schloss das Computer Incident Response Team im ersten Halbjahr 2022 38 Tickets mit einer mittleren Reparaturzeit von 40,39 Tagen ab, und MetaMask stellte die API-Methoden eth_decrypt und eth_getEncryptionPublicKey aus kryptografischen Gründen ein. Zwei Offenlegungen dominierten den Monat: Halborn erhielt 50.000 US-Dollar für die Entdeckung von „Demonic" (CVE-2022-32969), einer Schwachstelle bei der Festplattenverschlüsselung, die eine Secret Recovery Phrase im Klartext auf einem unverschlüsselten Laufwerk zwischenspeichern konnte, und das United Global Whitehat Security Team erhielt eine Prämie von 120.000 US-Dollar für eine kritische Clickjacking-Schwachstelle in der Extension. Die vollständige Aufschlüsselung finden Sie unten, aber zuerst...
MINT-Pionier im Fokus: Whitfield Diffie, Miterfinder der Public-Key-Kryptografie
Whitfield Diffie veröffentlichte gemeinsam mit Martin Hellman und Ralph Merkle im November 1976 „New Directions in Cryptography" und stellte damit das Diffie-Hellman-Schlüsselaustauschprotokoll vor, das sichere Kommunikation ohne ein vorab geteiltes Geheimnis ermöglichte. Das Protokoll bildet die Grundlage von TLS, SSH und den verschlüsselten Kanälen, auf die Nutzer von Self-Custodial Wallets täglich angewiesen sind. Diffie erhielt 2015 den ACM Turing Award und wurde 2011 in die National Inventors Hall of Fame aufgenommen.
Clickjacking-Schwachstelle bringt UGWST eine Prämie von 120.000 US-Dollar ein
MetaMask vergab eine Prämie von 120.000 US-Dollar an das United Global Whitehat Security Team (UGWST) für die verantwortungsvolle Offenlegung einer kritischen Clickjacking-Schwachstelle in der MetaMask Extension. Der Angriff stellte die Extension-Benutzeroberfläche als unsichtbaren iframe dar, der über einer bösartigen Website eingebettet war, und veranleitete Nutzer dazu, Transaktionen zu genehmigen und private Daten preiszugeben, ohne es zu merken. Vor dem Patch war keine Ausnutzung bekannt. Nutzer, die MetaMask Extension Version 10.14.6 oder höher verwenden, sind geschützt.
Halborns „Demonic"-Offenlegung enthüllt Festplattenverschlüsselungsrisiko für Browser-Wallets
Sicherheitsforscher bei Halborn legten CVE-2022-32969 offen, mit dem Codenamen „Demonic" – eine Schwachstelle, bei der eine während des Imports eingegebene Secret Recovery Phrase durch den Sitzungswiederherstellungsmechanismus des Browsers im Klartext auf der Festplatte zwischengespeichert werden konnte. Das Risiko bestand, wenn drei Bedingungen erfüllt waren: Die Festplatte war unverschlüsselt, die Secret Recovery Phrase wurde auf einem kompromittierten oder nicht vertrauenswürdigen Gerät importiert, und das Kontrollkästchen „Secret Recovery Phrase anzeigen" wurde während des Imports aktiviert. MetaMask implementierte Gegenmaßnahmen in Extension Version 10.11.3 und höher. MetaMask Mobile war nicht betroffen. Halborn erhielt 50.000 US-Dollar für die Entdeckung.
MetaMask Incident Response schließt 38 Tickets in H1 2022 mit einer MTTR von 40,39 Tagen
Das MetaMask Computer Incident Response Team (CIRT) schloss im ersten Halbjahr 2022 38 Tickets ab. Externe Melder reichten die Mehrheit ein – mehr als doppelt so viele wie die kombinierte Gesamtzahl aus Audits und internen Quellen. Nach Bearbeiter aufgeteilt übernahm das Extension-Team den größten Anteil, gefolgt von sicherheitsbezogenen (produktübergreifenden) Problemen und Mobile. Von den 38 Tickets hatten 13 einen CVSS-Score: 1 Kritisch – die Clickjacking-Bounty-Schwachstelle – 9 Mittel und 3 Niedrig. Von externen Meldern eingereichte Tickets wurden am schnellsten behoben, mit 28,53 Tagen pro Problem. Die gesamte mittlere Reparaturzeit betrug 40,39 Tage.
eth_decrypt und eth_getEncryptionPublicKey aus kryptografischen Gründen eingestellt
MetaMask stellte die API-Methoden eth_decrypt und eth_getEncryptionPublicKey ein. Beide Methoden, die gemäß EIP-1024 (inzwischen aufgegeben) entwickelt wurden, verwenden denselben privaten Schlüssel über verschiedene elliptische Kurven für Signierung und Verschlüsselung – eine Praxis, die zusätzliche Angriffsvektoren eröffnet. Es sind keine bekannten Exploits vorhanden, aber das Design wurde als nicht ausreichend sicher eingestuft, um es weiter zu fördern. Die Methoden bleiben funktionsfähig, um Drittanbieter-Integratoren Zeit zur Migration zu geben.
Endo import.meta- und require.resolve-Unterstützung abgeschlossen
Das Endo-Projekt integrierte import.meta-Unterstützung für Compartments, was Anpassungen am Babel-Plugin in static-module-record erforderte, um sicherzustellen, dass import.meta-Knoten auch innerhalb bereits transformierter Exportdefinitionen besucht und transformiert werden. Ein nachfolgender PR, der import.meta.url-Unterstützung zu compartment-mapper hinzufügt (endojs/endo #1202), brachte import.meta.url-Unterstützung zur importLocation-Funktionalität von compartment-mapper (nicht verfügbar in Archives). Separat wurde die require.resolve-Funktion zur CommonJS-Implementierung hinzugefügt, die standardmäßig einen Fehler auslöst, aber eine benutzerdefinierte Implementierung über ReadPowers akzeptiert. Diese Änderungen vervollständigten die geplante CJS-Support-Roadmap.
LavaMoat fügt Yarn-3-Unterstützung und explizite Richtlinienablehnungen hinzu
LavaMoat lieferte Yarn-3-Unterstützung für allow-scripts und fügte ein Plugin hinzu, um die Yarn-Einrichtung bei neuen Checkouts geschützter Projekte zu verwalten. Ein zweites Update führte explizite false-Werte in policy-overrides.json ein, die es Projekten ermöglichen, bestimmte Endowments abzulehnen und eine übermäßige Offenlegung von Objektfeldern bei Richtlinienzusammenführungen zu verhindern.
HackerOne-Bug-Bounty-Programm gestartet
MetaMask startete sein Bug-Bounty-Programm im Juni 2022 auf HackerOne und deckt dabei das MetaMask Extension GitHub-Repository und das MetaMask Mobile GitHub-Repository ab.
MetaMasks Krypto-Sicherheitsbericht für Juni 2022 behandelte die Clickjacking-Prämie von 120.000 US-Dollar, die an UGWST vergeben wurde, die Offenlegung der Halborn-„Demonic"-Festplattenverschlüsselungsschwachstelle, die Browser-Wallets betrifft, sowie MetaMasks Einstellung von eth_decrypt und eth_getEncryptionPublicKey aus kryptografischen Gründen. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
