Cada mes, Luker, director de seguridad de MetaMask, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En octubre de 2022, el proyecto Endo lanzó SES v0.17.0, incorporando el tan esperado refactor del evaluador "quadruple backflip" que permite a LavaMoat eliminar sus parches personalizados de SES, mientras que el propio LavaMoat añadió global scuttling y una API programática. En cuanto a las amenazas, Socket.dev reveló la confusión de scripts bin en npm —una técnica de cadena de suministro que secuestra comandos CLI legítimos a través del campo bin de un paquete—, ante la cual @lavamoat/allow-scripts ya estaba posicionado para mitigar. MetaMask también tomó el escenario en Devcon VI en Bogotá con dos charlas de seguridad, publicó el análisis en profundidad de Gal Weizman sobre los realms de JavaScript y atrajo a más de 4.000 asistentes a una llamada comunitaria sobre fundamentos de seguridad. El desglose completo está a continuación, pero primero...
Pionera STEM destacada: Frances Allen, pionera de la optimización de compiladores
Frances Allen (1932–2020) fue una científica informática estadounidense que fue pionera en el campo de la optimización de compiladores —la ciencia de transformar automáticamente el código para que se ejecute de forma más rápida y eficiente— y realizó contribuciones fundamentales al análisis de programas y la computación paralela durante sus décadas en IBM. En 2006 se convirtió en la primera mujer en recibir el Premio Turing de la ACM. El análisis profundo de cómo se compilan y ejecutan los programas que Allen impulsó es la misma base sobre la que herramientas como SES y LavaMoat se apoyan para razonar, aislar y restringir código no confiable.
SES v0.17.0 incorpora el refactor del evaluador "quadruple backflip" para Endo
El proyecto Endo lanzó SES v0.17.0, que incluye el refactor "quadruple backflip" del evaluador del shim de SES en una pila de alcance multicapa. El refactor corrige un problema por el cual el proxy de alcance podía filtrarse y separa las distintas responsabilidades del manejo del alcance global en capas discretas. Un beneficio clave para los proyectos dependientes: LavaMoat ahora puede usar el shim de SES sin modificaciones, sin necesidad de mantener sus propios parches. El trabajo paralelo continuó con la introducción de políticas al estilo LavaMoat en el mapeador de compartimentos de Endo, con la prueba de concepto actual que admite control granular de variables globales y módulos integrados por paquete, incluida la atenuación programática de las APIs integradas.
Socket.dev revela la confusión de scripts bin en npm como vector de ataque a la cadena de suministro
La firma de investigación de seguridad Socket.dev publicó una divulgación sobre la confusión de scripts bin en npm, una técnica en la que un paquete npm malicioso utiliza su campo bin para suplantar o secuestrar comandos CLI legítimos —incluido el propio node— cuando se instala junto a paquetes de confianza. El ataque es más difícil de detectar que los compromisos típicos de la cadena de suministro porque explota un comportamiento de diseño en la vinculación de paquetes de npm, en lugar de inyectar código malicioso en módulos existentes. La postura de GitHub es que el comportamiento funciona según lo diseñado. El @lavamoat/allow-scripts de LavaMoat ya estaba posicionado para mitigar esta clase de ataque al controlar qué paquetes tienen permitido ejecutar scripts de instalación.
LavaMoat introduce global scuttling y una API programática
LavaMoat lanzó 3 actualizaciones clave en octubre de 2022. El global scuttling captura las referencias globales necesarias para la dotación basada en políticas y luego elimina las referencias originales del alcance global, evitando que los paquetes pasen accidentalmente referencias indirectas a APIs poderosas. Una nueva API programática (require('lavamoat')) permite a los desarrolladores integrar LavaMoat directamente en aplicaciones y scripts de Node.js, en lugar de usarlo únicamente como herramienta CLI. La última versión de @lavamoat/allow-scripts también añadió compatibilidad lista para usar con la configuración de proyectos basados en Yarn 3.
MetaMask presenta dos charlas de seguridad en Devcon VI en Bogotá
MetaMask ofreció 2 presentaciones centradas en seguridad en Devcon VI en Bogotá, Colombia, en octubre de 2022. Antonela Debiasi presentó "Usable Security in web3" en el escenario principal, abordando el desafío de equilibrar la seguridad y la usabilidad en el diseño de wallets de autocustodia para favorecer una adopción más amplia. Kumavis (cofundador de MetaMask y líder de investigación en seguridad) presentó "The Attacker is Inside: Javascript Supplychain Security and LavaMoat", explicando cómo LavaMoat defiende contra los ataques a la cadena de suministro de JavaScript en el ecosistema cripto.
Gal Weizman publica un análisis en profundidad sobre los realms de JavaScript y la seguridad del navegador
El colaborador de LavaMoat, Gal Weizman, publicó "What is a realm in JavaScript?", un análisis técnico en profundidad sobre los entornos de ejecución en los que operan los programas JavaScript. El artículo explica cómo los atacantes explotan los realms creados por iframes para acceder a APIs nativas sin modificar, eludiendo las políticas de seguridad aplicadas a la ventana de nivel superior —la superficie de ataque exacta que la herramienta Snow de LavaMoat fue creada para cerrar.
La llamada comunitaria de fundamentos de seguridad de MetaMask atrae a más de 4.000 asistentes
El equipo comunitario de MetaMask organizó una llamada sobre fundamentos de seguridad que cubrió las prácticas de seguridad fundamentales para los usuarios de wallets de autocustodia. Más de 4.000 asistentes participaron en la sesión en vivo, que abordó temas como la seguridad de la Frase de Recuperación Secreta, el reconocimiento de phishing y la verificación de transacciones.
El Informe de Seguridad Cripto de MetaMask de octubre de 2022 cubrió el lanzamiento de SES v0.17.0 con el refactor del evaluador "quadruple backflip", la divulgación de Socket.dev sobre la confusión de scripts bin en npm como vector de ataque a la cadena de suministro que explota el diseño de vinculación de paquetes de npm, y la introducción por parte de LavaMoat del global scuttling para prevenir filtraciones de referencias indirectas a APIs poderosas. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
