Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Ce mois-ci, notre équipe a rejoint Wallet Guard pour un Twitter Space sur l'état de la sécurité crypto, et Harry Denley de Consensys a partagé les meilleures pratiques en matière de sécurité des smart contracts. Gal Weizman et Zbigniew Tenerowicz ont expliqué comment le « scuttling » et le sandboxing de LavaMoat protègent contre les attaques sur la chaîne d'approvisionnement JavaScript, et Herman Junge a présenté en avant-première Menpo, une nouvelle base de données d'incidents DeFi, avant le DeFi Security Summit. Nous avons également rassemblé des ressources pédagogiques, de DeFiHackLabs à l'OWASP API Security Top 10. Le détail complet se trouve ci-dessous, mais d'abord...
À la une : Bruce Voeller, pionnier des STEM, biologiste et chercheur sur le SIDA
Bruce Voeller (1934–1994) était un biologiste américain et militant pour les droits des personnes homosexuelles, largement reconnu pour avoir inventé le terme « AIDS » (SIDA). Il a fondé la Mariposa Education and Research Foundation, où il a étudié la transmission du VIH et l'efficacité des mesures de protection. L'insistance de Voeller sur une recherche rigoureuse et fondée sur des preuves pour protéger les personnes à risque reflète la même exigence que celle d'un travail de sécurité solide : tester les hypothèses, puis agir sur la base des données.
Notre équipe a rejoint Wallet Guard pour le Twitter Space State of Security : MetaMask x Wallet Guard Twitter Space, animé par Taylor Monahan, pour une discussion approfondie sur la sécurité crypto. La conversation a porté sur l'évolution des menaces, l'importance de l'open source et l'incident Atomic Wallet, entre autres sujets. Elle a offert aux auditeurs un regard franc et en coulisses sur la façon dont les deux équipes envisagent la protection des utilisateurs dans un paysage de menaces en constante évolution.
Harry Denley de MetaMask Security partage les meilleures pratiques en matière de sécurité des smart contracts
Dans une édition de Coffee With Calyptus, Harry Denley, expert en sécurité chez Consensys, a partagé les meilleures pratiques en matière de sécurité des smart contracts et mis en avant deux projets MetaMask : MetaMask Snaps, qui étend les capacités de MetaMask dans un environnement sécurisé, et LavaMoat, qui offre des protections à l'exécution au sein de l'écosystème JavaScript. Denley a insisté sur l'équilibre entre sécurité et fonctionnalité : les smart contracts étant immuables, la sécurité doit être prioritaire et toute fonctionnalité ajoutée doit être rigoureusement testée, avec une augmentation progressive de la valeur verrouillée dans un nouveau contrat comme moyen de protéger les utilisateurs. Ses pratiques recommandées incluent des principes de conception sécurisée, des bibliothèques de confiance comme OpenZeppelin, un état d'esprit de développeur axé sur la sécurité, des tests complets, des revues de code professionnelles et une formation continue sur les risques émergents.
Herman Junge présentera Menpo, une base de données d'incidents DeFi STIX 2.1, au DeFi Security Summit 2023
Au DeFi Security Summit à Paris le 15 juillet 2023, Herman Junge présentera Menpo, un projet qui utilise STIX 2.1 pour standardiser le catalogage des incidents DeFi, comme annoncé par le sommet. En fournissant un lexique commun pour décrire les incidents, Menpo favorise le partage de renseignements sur les menaces entre organisations, permettant une allocation plus efficace des ressources de sécurité et un partage en temps réel des rapports d'incidents au fur et à mesure qu'ils se déroulent.
La conférence de Zbigniew Tenerowicz sur la défense de la chaîne d'approvisionnement JavaScript
Dans une conférence DevSecConf24, Zbigniew Tenerowicz (ZB) s'est attaqué à la question délicate de savoir s'il faut ou non exécuter du code provenant d'inconnus. Malgré les risques inhérents, il a reconnu qu'il s'agit d'une pratique courante dans le monde de la technologie. Il a exploré l'univers des projets JavaScript, en examinant notamment comment ils peuvent se protéger de manière proactive contre les attaques sur la chaîne d'approvisionnement. Cette défense proactive a été abordée en partant du principe qu'une dépendance téléchargée a déjà été livrée avec une dépendance malveillante. ZB a suggéré des méthodes telles que la restriction de l'accès aux variables globales pour chaque package et le contrôle de la capacité d'un package à accéder au réseau ou au système de fichiers.
De plus, il a abordé la question importante de l'élimination de la pollution de prototype, une vulnérabilité courante dans les projets JavaScript. ZB s'est également intéressé aux futures fonctionnalités de JavaScript, notamment celles actuellement en discussion au sein du TC39. Il a montré comment ces fonctionnalités émergentes peuvent être exploitées pour protéger les projets dès aujourd'hui. Pour une compréhension plus pratique, ZB a proposé une démonstration en direct engageante, montrant comment exécuter de vrais malwares en toute sécurité, soulignant ainsi l'importance et l'efficacité des mesures défensives présentées.
Gal Weizman explique la fonctionnalité de « scuttling » de LavaMoat
Gal Weizman a expliqué simplement le « scuttling » de LavaMoat. Les applications dépendent d'une multitude de code tiers, et n'importe quelle partie pourrait devenir malveillante. LavaMoat isole chaque dépendance avec SES afin qu'elle n'obtienne que ce dont elle a besoin. Mais si l'une d'elles s'échappe et atteint l'objet global window — où se trouvent les API puissantes — c'est un problème. Le scuttling supprime ces API de window, de sorte qu'une dépendance qui s'échappe se retrouve dans une impasse. L'application continue de fonctionner ; l'attaquant, non.
Mise à jour LavaMoat : conférence React Summit, avancées React Native mobile, Snow et ScorchWrap
Au-delà de la conférence DevSecConf24, une vidéo sur le même sujet présentée lors du React Summit 2023 sur Git Nation, également présentée par Zbyszek, est devenue disponible le 5 juillet 2023. Du côté mobile, une analyse approfondie du code d'animation natif iOS de React Native (faisant suite à une investigation précédente) a retracé des échecs de macros d'assertion sur les nœuds parents et enfants jusqu'à des échecs de chargement de pages WebView lors de la navigation, finalement liés à l'exclusion du polyfill global Promise de React Native au profit des Promises JSC natives — actuellement nécessaire pour démarrer un MetaMask mobile verrouillé avec une vue racine peuplée. Les prochaines étapes incluent la correction des tests de fumée Detox iOS de bout en bout restants, puis la prise en charge d'Android via Appium. Par ailleurs, Snow a reçu des mises à jour corrigeant d'autres contournements potentiels, et la partie webpack du plugin webpack ScorchWrap se stabilise, ouvrant la voie à l'intégration des fonctionnalités de LavaMoat.
Ressources pédagogiques : DeFiHackLabs, vecteurs d'attaque NFT et l'OWASP API Top 10
Bien que les NFT soient devenus de plus en plus populaires, il n'existe pas beaucoup d'informations claires et accessibles à leur sujet, ce qui en fait des cibles fréquentes pour les escrocs et les hackers. Ce rapport met en avant plusieurs ressources pédagogiques. SunWeb3Sec/DeFiHackLabs reproduit des incidents de hack DeFi à l'aide de Foundry — 233 incidents à ce jour — accompagné d'une analyse des causes profondes des incidents et d'un dépôt complémentaire pour apprendre les vulnérabilités courantes des smart contracts. Quillhash/NFT-Attack-Vectors, maintenu par QuillAudits, répertorie les méthodes couramment utilisées pour exploiter les NFT. Et l'OWASP API Security Top 10 pour 2023 liste les risques liés aux API contre lesquels les développeurs doivent se prémunir cette année.
Le rapport de sécurité crypto de MetaMask pour juin 2023 a couvert le premier Twitter Space MetaMask et Wallet Guard sur l'état de la sécurité, les meilleures pratiques de sécurité des smart contracts de Harry Denley sur Coffee With Calyptus, et une explication de la fonctionnalité de « scuttling » de LavaMoat pour se défendre contre les attaques sur la chaîne d'approvisionnement JavaScript. Consultez les éditions précédentes du MetaMask Crypto Security Report pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
