Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Oktober 2022 veröffentlichte das Endo-Projekt SES v0.17.0 mit dem lang erwarteten „Quadruple Backflip"-Evaluator-Refactoring, das es LavaMoat ermöglicht, auf eigene SES-Patches zu verzichten. LavaMoat selbst führte Global Scuttling und eine programmatische API ein. Auf der Bedrohungsseite legte Socket.dev eine npm-Bin-Script-Confusion offen – eine Supply-Chain-Technik, die legitime CLI-Befehle über das bin-Feld eines Pakets kapert –, gegen die @lavamoat/allow-scripts bereits gewappnet war. MetaMask trat außerdem auf der Devcon VI in Bogotá mit zwei Sicherheitsvorträgen auf, veröffentlichte Gal Weizmans Tiefenanalyse zu JavaScript-Realms und verzeichnete über 4.000 Teilnehmer bei einem Community-Security-Essentials-Call. Die vollständige Übersicht folgt unten, aber zuerst...
MINT-Pionierin im Fokus: Frances Allen, Wegbereiterin der Compiler-Optimierung
Frances Allen (1932–2020) war eine amerikanische Informatikerin, die das Feld der Compiler-Optimierung – die Wissenschaft der automatischen Code-Transformation für schnellere und effizientere Ausführung – maßgeblich geprägt und während ihrer jahrzehntelangen Tätigkeit bei IBM grundlegende Beiträge zur Programmanalyse und zum Parallelrechnen geleistet hat. Im Jahr 2006 wurde sie als erste Frau mit dem ACM Turing Award ausgezeichnet. Die von Allen begründete tiefgehende Analyse der Kompilierung und Ausführung von Programmen bildet genau das Fundament, auf dem Tools wie SES und LavaMoat aufbauen, um nicht vertrauenswürdigen Code zu analysieren, zu isolieren und einzuschränken.
SES v0.17.0 liefert „Quadruple Backflip"-Evaluator-Refactoring für Endo
Das Endo-Projekt veröffentlichte SES v0.17.0, das das „Quadruple Backflip"-Refactoring des SES-Shim-Evaluators in einen mehrschichtigen Scope-Stack enthält. Das Refactoring behebt ein Problem, bei dem der Scope-Proxy auslaufen konnte, und trennt unterschiedliche Zuständigkeiten bei der Behandlung des globalen Scopes in separate Schichten. Ein wesentlicher nachgelagerter Vorteil: LavaMoat kann nun den unveränderten SES-Shim verwenden, ohne eigene Patches pflegen zu müssen. Parallel dazu wurden Arbeiten zur Einführung von LavaMoat-ähnlichen Policies in Endos Compartment-Mapper fortgesetzt. Der aktuelle Proof of Concept unterstützt die granulare Steuerung von Globals und Built-ins pro Paket, einschließlich der programmatischen Abschwächung von Built-in-APIs.
Socket.dev legt npm-Bin-Script-Confusion als Supply-Chain-Angriffsvektor offen
Das Sicherheitsforschungsunternehmen Socket.dev veröffentlichte eine Offenlegung zur npm-Bin-Script-Confusion – einer Technik, bei der ein bösartiges npm-Paket sein bin-Feld nutzt, um legitime CLI-Befehle zu überlagern oder zu kapern, einschließlich node selbst, wenn es zusammen mit vertrauenswürdigen Paketen installiert wird. Der Angriff ist schwerer zu erkennen als typische Supply-Chain-Kompromittierungen, da er ein Designverhalten beim npm-Paket-Linking ausnutzt, anstatt bösartigen Code in bestehende Module einzuschleusen. GitHubs Standpunkt ist, dass das Verhalten dem Design entspricht. LavaMoats @lavamoat/allow-scripts war bereits darauf ausgerichtet, diese Angriffskategorie zu entschärfen, indem kontrolliert wird, welche Pakete Install-Scripts ausführen dürfen.
LavaMoat führt Global Scuttling und programmatische API ein
LavaMoat lieferte im Oktober 2022 drei wichtige Updates. Global Scuttling erfasst globale Referenzen, die für Policy-basierte Endowments benötigt werden, und entfernt anschließend die ursprünglichen Referenzen aus dem globalen Scope. Dadurch wird verhindert, dass Pakete versehentlich indirekte Referenzen auf leistungsstarke APIs weitergeben. Eine neue programmatische API (require('lavamoat')) ermöglicht es Entwicklern, LavaMoat direkt in Node.js-Anwendungen und -Scripts zu integrieren, anstatt es ausschließlich als CLI-Tool zu verwenden. Das neueste Release von @lavamoat/allow-scripts fügte außerdem Out-of-the-Box-Unterstützung für die Konfiguration von Yarn-3-basierten Projekten hinzu.
MetaMask präsentiert zwei Sicherheitsvorträge auf der Devcon VI in Bogotá
MetaMask hielt im Oktober 2022 zwei sicherheitsorientierte Präsentationen auf der Devcon VI in Bogotá, Kolumbien. Antonela Debiasi präsentierte „Usable Security in web3" auf der Hauptbühne und thematisierte die Herausforderung, Sicherheit und Benutzerfreundlichkeit im Design von Self-Custody-Wallets in Einklang zu bringen, um eine breitere Akzeptanz zu fördern. Kumavis (Mitgründer von MetaMask und Leiter der Sicherheitsforschung) präsentierte „The Attacker is Inside: Javascript Supplychain Security and LavaMoat" und erläuterte, wie LavaMoat JavaScript-Supply-Chain-Angriffe im Krypto-Ökosystem abwehrt.
Gal Weizman veröffentlicht Tiefenanalyse zu JavaScript-Realms und Browser-Sicherheit
LavaMoat-Contributor Gal Weizman veröffentlichte „What is a realm in JavaScript?", eine technische Tiefenanalyse der Ausführungsumgebungen, in denen JavaScript-Programme laufen. Der Artikel erklärt, wie Angreifer durch iframes erzeugte Realms nutzen, um auf unveränderte native APIs zuzugreifen und dabei Sicherheitsrichtlinien des Top-Level-Fensters zu umgehen – genau die Angriffsfläche, die LavaMoats Snow-Tool schließen soll.
Das Community-Team von MetaMask veranstaltete einen Security Essentials Call zu grundlegenden Sicherheitspraktiken für Nutzer von Self-Custody-Wallets. Über 4.000 Teilnehmer nahmen an der Live-Session teil, die Themen wie die Sicherheit der Secret Recovery Phrase, Phishing-Erkennung und Transaktionsverifizierung abdeckte.
MetaMasks Krypto-Sicherheitsbericht für Oktober 2022 behandelte die Veröffentlichung von SES v0.17.0 mit dem „Quadruple Backflip"-Evaluator-Refactoring, die Offenlegung der npm-Bin-Script-Confusion durch Socket.dev als Supply-Chain-Angriffsvektor, der das Paket-Linking-Design von npm ausnutzt, sowie die Einführung von Global Scuttling in LavaMoat zur Verhinderung indirekter Referenzlecks zu leistungsstarken APIs. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
