Chaque mois, Luker, directeur de la sécurité chez MetaMask, rend compte des dernières attaques crypto et des risques émergents à connaître.
En août 2023, des experts en sécurité de MetaMask, Paradigm, Yearn et Polygon ont lancé Seal 911 — une hotline Telegram expérimentale pour les urgences crypto — tandis que MetaMask prenait la parole à Defcon, à Ethereum Argentina, et que Gal Weizman donnait à Snow une orientation plus ambitieuse, axée sur la sécurité. Dans les coulisses, LavaMoat a automatisé ses releases et fait avancer le plugin ScorchWrap ainsi que le SES lockdown pour mobile. Par ailleurs, nous avons signalé une nouvelle attaque réelle sur la chaîne d'approvisionnement logicielle : un package npm Ethereum typosquatté qui volait des clés privées — exactement le type de menace que LavaMoat est conçu à atténuer. L'analyse complète est ci-dessous, mais d'abord...
Pionnier des STEM à l'honneur : Émile Baudot, inventeur du code Baudot
Émile Baudot (1845–1903) était un ingénieur télégraphiste français qui inventa le code Baudot, un encodage de caractères à longueur fixe parmi les premiers à constituer un moyen pratique de communication numérique et un précurseur de l'ASCII. L'unité « baud » porte son nom. Ses travaux sur la standardisation de l'encodage et de la transmission de l'information sont fondateurs pour l'échange de données sécurisé et fiable dont dépend aujourd'hui l'écosystème.
Des experts en sécurité lancent Seal 911, une hotline Telegram pour les urgences crypto
Des experts en sécurité de MetaMask, ainsi que de Paradigm, Yearn et Polygon, se sont associés pour créer une hotline bot Telegram expérimentale destinée aux utilisateurs confrontés à des urgences crypto, avec la participation de Taylor Monahan et Harry Denley de MetaMask sur ce projet baptisé Seal 911. Comme l'a expliqué samczsun le 8 août 2023, le groupe s'est donné pour mission de résoudre la partie la plus difficile de la divulgation responsable : trouver la bonne personne à qui parler. Le résultat est un bot Seal 911 que tout le monde peut utiliser en cas d'urgence pour contacter des membres de confiance de la communauté sécurité et leur vaste réseau de contacts.
Gal Weizman : Snow privilégie la sécurité plutôt que l'adoption et la fonctionnalité
Dans la dernière mise à jour sur Snow de LavaMoat, Gal Weizman de MetaMask a annoncé une orientation plus ambitieuse : « Aujourd'hui marque un grand jour dans la vie de Snow, où nous prenons la décision mûrement réfléchie que, pour que le projet cesse de courir après une sécurité défensive, il doit franchir des étapes audacieuses au détriment de l'adoption et du comportement fonctionnel. » En d'autres termes, Snow privilégiera des garanties de sécurité plus robustes, même si cela réduit la commodité ou la compatibilité.
Zbigniew Tenerowicz et Kumavis animent un atelier de Defensive Coding à l'AppSec Village de Defcon
À l'AppSec Village d'août 2023 de Defcon à Las Vegas, Zbigniew Tenerowicz (ZB) et Kumavis de MetaMask ont animé un atelier de Defensive Coding portant sur le JavaScript renforcé et les risques liés à la chaîne d'approvisionnement logicielle. Il n'existe pas d'enregistrement, mais le contenu du cours et les diapositives sont disponibles.
« Avez-vous entendu parler de la chaîne d'approvisionnement logicielle ? Oui, c'est ce phénomène où il s'avère que vous êtes finalement responsable de ce que votre application prend dans le dossier
Antonela Debiasi remet en question la confiance accordée aux intermédiaires technologiques à Ethereum Argentina
La spécialiste en conception sécurisée Antonela Debiasi a pris la scène principale à Ethereum Argentina pour examiner le modèle de confiance dans les réseaux de cryptomonnaies, en établissant une distinction entre les indicateurs de confiance et les indicateurs de sécurité d'entreprise.
LavaMoat et Endo font avancer l'automatisation des releases, ScorchWrap et le SES lockdown pour mobile
Le monorepo LavaMoat passe aux npm workspaces et à release-please pour la gestion des releases, ce qui rendra les releases de LavaMoat automatisées et bien plus rapides. Le plugin webpack ScorchWrap prend désormais en charge plusieurs points d'entrée et chunks, et l'application de la politique sur les exigences des modules est implémentée ; le travail restant pour la première bêta consiste à appliquer la politique sur les variables globales. Par ailleurs, le SES lockdown est en cours de division en deux étapes pour permettre l'application de « Vetted Shims » aux intrinsèques après réparation mais avant le gel — une modification qui devrait améliorer la compatibilité et lever l'un des derniers obstacles à l'exécution de MetaMask Mobile avec lockdown. Sur mobile, SES continue de verrouiller en pré-bundle et d'autoriser reflect-metadata comme shim de confiance, car il s'agit d'une dépendance directe de @consensys/on-ramp-sdk utilisé comme composant d'ordre supérieur encapsulant l'écran Paramètres.
Un package npm Ethereum typosquatté vole des clés privées, le type d'attaque que LavaMoat cible
Phylum a signalé début août 2023 avoir été alerté d'une série de publications npm suspectes, dont un typosquat d'une bibliothèque de cryptomonnaies populaire et une dépendance dissimulant du code malveillant au cœur d'un fichier volumineux que la plupart des développeurs n'examineraient jamais. Le package exfiltrait des clés privées vers un serveur distant — précisément le type d'attaque sur la chaîne d'approvisionnement logicielle que LavaMoat est conçu à atténuer.
Le rapport de sécurité crypto de MetaMask pour août 2023 a couvert le lancement de Seal 911, une hotline Telegram inter-organisations pour les urgences crypto, une nouvelle orientation ambitieuse axée sur la sécurité pour Snow, ainsi qu'un package npm Ethereum typosquatté ayant volé des clés privées. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
