Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
In diesem Monat schloss sich unser Team Wallet Guard für einen State of Security Twitter Space über den Stand der Krypto-Sicherheit an, und Consensys' Harry Denley teilte Best Practices für Smart-Contract-Sicherheit. Gal Weizman und Zbigniew Tenerowicz erläuterten, wie LavaMoats „Scuttling" und Sandboxing gegen JavaScript-Supply-Chain-Angriffe schützen, und Herman Junge gab einen Vorgeschmack auf Menpo, eine neue DeFi-Incident-Datenbank, im Vorfeld des DeFi Security Summit. Wir haben außerdem Lernressourcen zusammengestellt, von DeFiHackLabs bis zum OWASP API Security Top 10. Die vollständige Übersicht finden Sie unten, aber zuerst...
MINT-Pionier im Fokus: Bruce Voeller, Biologe und AIDS-Forscher
Bruce Voeller (1934–1994) war ein amerikanischer Biologe und Aktivist für die Rechte von Homosexuellen, dem weithin die Prägung des Begriffs „AIDS" zugeschrieben wird. Er gründete die Mariposa Education and Research Foundation, wo er die HIV-Übertragung und die Wirksamkeit von Schutzmaßnahmen erforschte. Voellers Beharren auf rigoroser, evidenzbasierter Forschung zum Schutz gefährdeter Menschen spiegelt denselben Anspruch wider, den solide Sicherheitsarbeit erfordert: Annahmen testen, dann auf Basis der Daten handeln.
Unser Team schloss sich Wallet Guard für den State of Security: MetaMask x Wallet Guard Twitter Space an, moderiert von Taylor Monahan, für eine eingehende Diskussion über Krypto-Sicherheit. Das Gespräch umfasste die Entwicklung von Bedrohungen, die Bedeutung von Open Sourcing und den Atomic Wallet-Vorfall, unter anderem. Es bot den Zuhörern einen offenen Blick hinter die Kulissen, wie beide Teams darüber nachdenken, Nutzer in einer sich schnell verändernden Bedrohungslandschaft zu schützen.
MetaMask Securitys Harry Denley teilt Best Practices für Smart-Contract-Sicherheit
In einer Ausgabe von Coffee With Calyptus teilte Harry Denley, ein Sicherheitsexperte bei Consensys, Best Practices für Smart-Contract-Sicherheit und hob zwei MetaMask-Projekte hervor: MetaMask Snaps, das MetaMasks Funktionen in einer sicheren Umgebung erweitert, und LavaMoat, das Laufzeitschutz innerhalb des JavaScript-Ökosystems bietet. Denley betonte die Balance zwischen Sicherheit und Funktionalität: Da Smart Contracts unveränderlich sind, sollte Sicherheit priorisiert und jede hinzugefügte Funktionalität rigoros getestet werden, wobei eine schrittweise Erhöhung des in einem neuen Contract gesperrten Wertes eine Möglichkeit ist, Nutzer zu schützen. Zu seinen empfohlenen Praktiken gehörten sichere Designprinzipien, vertrauenswürdige Bibliotheken wie OpenZeppelin, eine sicherheitsorientierte Entwickler-Denkweise, umfassendes Testen, professionelle Code-Reviews und kontinuierliche Weiterbildung zu aufkommenden Risiken.
Herman Junge stellt Menpo vor, eine STIX 2.1 DeFi-Incident-Datenbank, beim DeFi Security Summit 2023
Beim DeFi Security Summit in Paris am 15. Juli 2023 wird Herman Junge Menpo vorstellen, ein Projekt, das STIX 2.1 verwendet, um die Katalogisierung von DeFi-Vorfällen zu standardisieren, wie vom Summit angekündigt. Durch die Bereitstellung eines gemeinsamen Vokabulars zur Beschreibung von Vorfällen fördert Menpo den organisationsübergreifenden Austausch von Bedrohungsinformationen, ermöglicht eine effizientere Zuweisung von Sicherheitsressourcen und den Echtzeit-Austausch von Vorfallsberichten, während diese sich entfalten.
Zbigniew Tenerowicz' Vortrag zur Verteidigung gegen JavaScript-Supply-Chain-Angriffe
In einem DevSecConf24-Vortrag widmete sich Zbigniew Tenerowicz (ZB) der herausfordernden Frage, ob man Code von Fremden ausführen sollte oder nicht. Trotz der inhärenten Risiken erkannte er an, dass dies eine in der Tech-Welt regelmäßig praktizierte Vorgehensweise ist. Er erkundete die Welt der JavaScript-Projekte und untersuchte insbesondere, wie sie sich proaktiv gegen Supply-Chain-Angriffe schützen können. Diese proaktive Verteidigung wurde unter der Annahme diskutiert, dass eine heruntergeladene Abhängigkeit bereits mit einer schädlichen Abhängigkeit ausgeliefert wurde. ZB schlug Methoden vor wie die Einschränkung des Zugriffs auf globale Variablen für jedes Paket und die Kontrolle der Fähigkeit eines Pakets, auf das Netzwerk oder das Dateisystem zuzugreifen.
Darüber hinaus sprach er das wichtige Thema der Beseitigung von Prototype Pollution an, einer häufigen Schwachstelle in JavaScript-Projekten. ZB richtete seinen Blick auch auf zukünftige JavaScript-Features, insbesondere auf solche, die derzeit in TC39 diskutiert werden. Er zeigte, wie diese aufkommenden Features genutzt werden können, um Projekte bereits heute zu schützen. Um ein praxisnäheres Verständnis zu vermitteln, bot ZB eine anschauliche Live-Demonstration, bei der er zeigte, wie echte Malware sicher ausgeführt werden kann, und unterstrich damit die Bedeutung und Wirksamkeit der besprochenen Schutzmaßnahmen.
Gal Weizman erklärt LavaMoats „Scuttling"-Feature
Gal Weizman erklärte LavaMoats „Scuttling" in einfachen Worten. Apps sind auf eine Vielzahl von Drittanbieter-Code angewiesen, und jedes Element könnte sich als schädlich erweisen. LavaMoat isoliert jede Abhängigkeit mit SES in einer Sandbox, sodass sie nur das erhält, was sie benötigt. Aber wenn eine Abhängigkeit ausbricht und das globale Window-Objekt erreicht – wo sich die leistungsstarken APIs befinden – ist das ein Problem. Scuttling entfernt diese APIs aus dem Window, sodass eine ausgebrochene Abhängigkeit in eine Sackgasse läuft. Die App funktioniert weiterhin; der Angreifer nicht.
LavaMoat-Update: React Summit-Vortrag, React Native Mobile-Fortschritte, Snow und ScorchWrap
Über den DevSecConf24-Vortrag hinaus wurde am 5. Juli 2023 ein Video zum gleichen Thema vom React Summit 2023 auf Git Nation, ebenfalls präsentiert von Zbyszek, verfügbar. Auf der mobilen Seite führte eine eingehende Untersuchung des React Native iOS Native Animation Codes (im Anschluss an eine frühere Untersuchung) Assertion-Makros, die bei übergeordneten und untergeordneten Knoten fehlschlugen, auf fehlgeschlagene WebView-Seitenladevorgänge bei der Navigation zurück, was letztlich damit zusammenhing, dass React Natives globales Promise-Polyfill zugunsten nativer JSC Promises ausgeschlossen wurde – derzeit notwendig, um ein gesperrtes MetaMask Mobile mit einer befüllten Root-View zu starten. Die nächsten Schritte umfassen die Behebung der verbleibenden Detox iOS End-to-End-Smoke-Tests und anschließend die Unterstützung von Android über Appium. Andernorts erhielt Snow Updates, die weitere potenzielle Umgehungsmöglichkeiten beheben, und der webpack-spezifische Teil des ScorchWrap-Webpack-Plugins stabilisiert sich, was den Weg für die Integration von LavaMoat-Features ebnet.
Lernressourcen: DeFiHackLabs, NFT-Angriffsvektoren und das OWASP API Top 10
Obwohl NFTs zunehmend populär geworden sind, gibt es nicht viele klare und leicht verständliche Informationen darüber, was sie zu einem häufigen Ziel für Betrüger und Hacker macht. Dieser Bericht hob mehrere Lernressourcen hervor. SunWeb3Sec/DeFiHackLabs reproduziert DeFi-Hack-Vorfälle mit Foundry – bisher 233 Vorfälle – zusammen mit einer Analyse der Grundursachen von Vorfällen und einem Begleit-Repository zum Erlernen häufiger Smart-Contract-Schwachstellen. Quillhash/NFT-Attack-Vectors, gepflegt von QuillAudits, katalogisiert gängige Methoden zur Ausnutzung von NFTs. Und das OWASP API Security Top 10 für 2023 listet die API-Risiken auf, gegen die Entwickler in diesem Jahr Schutzmaßnahmen ergreifen sollten.
MetaMasks Krypto-Sicherheitsbericht für Juni 2023 behandelte den ersten MetaMask und Wallet Guard State of Security Twitter Space, Harry Denleys Smart-Contract-Sicherheits-Best-Practices bei Coffee With Calyptus und eine Erklärung von LavaMoats „Scuttling"-Feature zur Verteidigung gegen JavaScript-Supply-Chain-Angriffe. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
