Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em outubro de 2022, o projeto Endo lançou o SES v0.17.0, concluindo o tão aguardado refactor do avaliador "quadruple backflip", que permite ao LavaMoat abandonar seus patches personalizados do SES, enquanto o próprio LavaMoat adicionou o global scuttling e uma API programática. No campo das ameaças, a Socket.dev divulgou a confusão de bin scripts no npm — uma técnica de supply chain que sequestra comandos legítimos de CLI por meio do campo bin de um pacote —, para a qual o @lavamoat/allow-scripts já estava posicionado para mitigar. A MetaMask também marcou presença na Devcon VI em Bogotá com duas palestras sobre segurança, publicou o mergulho profundo de Gal Weizman sobre realms em JavaScript e reuniu mais de 4.000 participantes em uma chamada comunitária sobre Fundamentos de Segurança. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Frances Allen, pioneira da otimização de compiladores
Frances Allen (1932–2020) foi uma cientista da computação americana que desbravou o campo da otimização de compiladores — a ciência de transformar código automaticamente para que ele seja executado de forma mais rápida e eficiente — e fez contribuições fundamentais para a análise de programas e a computação paralela durante suas décadas na IBM. Em 2006, tornou-se a primeira mulher a receber o Prêmio Turing da ACM. A análise profunda de como os programas são compilados e executados, que Allen pioneirou, é a mesma base sobre a qual ferramentas como SES e LavaMoat se apoiam para raciocinar, isolar e restringir código não confiável.
SES v0.17.0 entrega o refactor do avaliador "quadruple backflip" para o Endo
O projeto Endo lançou o SES v0.17.0, que inclui o refactor "quadruple backflip" do avaliador do SES shim em uma pilha de escopo multicamadas. O refactor corrige um problema em que o proxy de escopo poderia vazar e separa responsabilidades distintas no tratamento do escopo global em camadas discretas. Um benefício importante para os projetos dependentes: o LavaMoat agora pode usar o SES shim sem alterações, sem precisar manter seus próprios patches. O trabalho paralelo continuou na introdução de políticas no estilo LavaMoat ao mapeador de compartimentos do Endo, com a prova de conceito atual suportando controle granular de globais e built-ins por pacote, incluindo atenuação programática de APIs built-in.
Socket.dev divulga confusão de bin scripts no npm como vetor de ataque à supply chain
A empresa de pesquisa em segurança Socket.dev publicou uma divulgação sobre a confusão de bin scripts no npm, uma técnica em que um pacote npm malicioso usa seu campo bin para sobrepor ou sequestrar comandos legítimos de CLI — incluindo o próprio node — quando instalado junto com pacotes confiáveis. O ataque é mais difícil de detectar do que comprometimentos típicos de supply chain, pois explora um comportamento de design no link de pacotes do npm, em vez de injetar código malicioso em módulos existentes. A posição do GitHub é que o comportamento funciona conforme projetado. O @lavamoat/allow-scripts do LavaMoat já estava posicionado para mitigar essa classe de ataque, controlando quais pacotes têm permissão para executar scripts de instalação.
LavaMoat introduz global scuttling e API programática
O LavaMoat lançou 3 atualizações importantes em outubro de 2022. O global scuttling captura referências globais necessárias para o endowment baseado em políticas e, em seguida, remove as referências originais do escopo global, impedindo que pacotes passem acidentalmente referências indiretas para APIs poderosas. Uma nova API programática (require('lavamoat')) permite que desenvolvedores integrem o LavaMoat diretamente em aplicações e scripts Node.js, em vez de usá-lo apenas como uma ferramenta de CLI. A versão mais recente do @lavamoat/allow-scripts também adicionou suporte nativo para configuração de projetos baseados em Yarn 3.
MetaMask apresenta duas palestras de segurança na Devcon VI em Bogotá
A MetaMask realizou 2 apresentações com foco em segurança na Devcon VI em Bogotá, Colômbia, em outubro de 2022. Antonela Debiasi apresentou "Usable Security in web3" no palco principal, abordando o desafio de equilibrar segurança e usabilidade no design de carteiras self-custodial para apoiar uma adoção mais ampla. Kumavis (cofundador da MetaMask e líder de pesquisa em segurança) apresentou "The Attacker is Inside: Javascript Supplychain Security and LavaMoat", abordando como o LavaMoat se defende contra ataques à supply chain de JavaScript no ecossistema cripto.
Gal Weizman publica mergulho profundo sobre realms em JavaScript e segurança no navegador
O colaborador do LavaMoat, Gal Weizman, publicou "What is a realm in JavaScript?", um mergulho técnico profundo sobre os ambientes de execução nos quais os programas JavaScript operam. O artigo explica como invasores exploram realms criados por iframes para acessar APIs nativas não modificadas, contornando as políticas de segurança aplicadas à janela de nível superior — exatamente a superfície de ataque que a ferramenta Snow do LavaMoat foi criada para fechar.
Chamada comunitária de Fundamentos de Segurança da MetaMask reúne mais de 4.000 participantes
A equipe comunitária da MetaMask realizou uma chamada sobre Fundamentos de Segurança cobrindo práticas básicas de segurança para usuários de carteiras self-custodial. Mais de 4.000 participantes estiveram presentes na sessão ao vivo, que abordou tópicos como segurança da Frase de Recuperação Secreta, reconhecimento de phishing e verificação de transações.
O Relatório de Segurança Cripto de outubro de 2022 da MetaMask cobriu o lançamento do SES v0.17.0 com o refactor do avaliador "quadruple backflip", a divulgação pela Socket.dev da confusão de bin scripts no npm como vetor de ataque à supply chain explorando o design de link de pacotes do npm, e a introdução pelo LavaMoat do global scuttling para evitar vazamentos de referências indiretas para APIs poderosas. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
