Fundamentos de Segurança do Snaps: Um Guia de Segurança para o Desenvolvimento do MetaMask Snaps

Novos primitivos significam novos bugs e alguns paradigmas para entender se você quiser segurança integrada. Felizmente, existem diretrizes como as Melhores Práticas de Segurança para Smart Contracts Ethereum que oferecem aos desenvolvedores uma compreensão sólida para tornar seus projetos o mais seguros possível para os usuários.

Diretrizes de segurança para MetaMask Snaps

Um desses novos primitivos é o MetaMask Snaps, um sistema de código aberto que permite aos usuários estender com segurança a funcionalidade do MetaMask, oferecendo novas experiências de carteira. Em sua essência, um Snap é um programa JavaScript que opera dentro do MetaMask em um ambiente isolado.

Com o MetaMask Snaps, surgem diversas funções novas e interessantes para sua carteira MetaMask, o que inevitavelmente introduz mais complexidade e, portanto, uma superfície de ataque maior. Anteriormente, apresentamos o Modelo de Confiança do MetaMask para um desenvolvimento de Snap mais seguro e destacamos vulnerabilidades comuns nos Snaps.

Esse é o alicerce para o próximo passo que damos na criação de uma base de conhecimento sobre tudo relacionado à segurança de Snaps. Pensando em desenvolvedores e auditores, reunimos os Snap Security Essentials, que explicam o Modelo de Confiança do MetaMask, as principais vulnerabilidades, melhores práticas e muito mais. É um recurso completo com tudo que desenvolvedores e auditores precisam para criar um espaço seguro para Snaps.

É mantido pela Consensys Diligence, com contribuições de nossos amigos da comunidade mais ampla de Ethereum e segurança. 💚

O que você pode esperar dos Snap Security Essentials

• Filosofia geral: Entender os Snaps significa entender o Modelo de Confiança do MetaMask. Como resumido em nosso post anterior, os usuários confiam no MetaMask, mas não no dapp! Dado esse paradigma, existem consequências lógicas para o desenvolvimento e a auditoria segura de Snaps, que condensamos em diretrizes de filosofia geral.

• Top 10 vulnerabilidades de Snaps: Realizamos uma análise abrangente dos relatórios de auditoria de todos os Snaps no Snaps Marketplace até outubro de 2023. Classificamos os problemas e identificamos um top 10 claro. Para cada vulnerabilidade, os Essentials fornecem uma descrição detalhada, cenários de uso indevido e formas de preveni-los.

• Base de conhecimento: Este é o lugar certo para se aprofundar no desenvolvimento e na segurança de Snaps. Aqui, compartilhamos nossas descobertas e insights mais recentes para que você tenha todo o conhecimento alpha de Snap Security em um só lugar. Esta é uma fonte de conhecimento em constante crescimento, pois convidamos a comunidade a contribuir e compartilhar.

• Ferramentas experimentais: Segurança é difícil e leva tempo. Pensamos constantemente em formas de facilitar a vida do seu engenheiro de segurança interno e publicamos novas ferramentas para você testar. Nosso experimento mais recente é o SnipGuardian, projetado para visualizar as capacidades de um Snap, fornecer insights de código e detectar vulnerabilidades comuns. Essa ferramenta é o canivete suíço da Segurança de Snaps. Como usuário de Snap, ela pode ajudá-lo a entender o perfil de risco de um Snap antes de instalá-lo. Como desenvolvedor, pode ajudá-lo a identificar armadilhas e vulnerabilidades comuns no seu Snap e aprimorar a robustez do seu código. Como auditor de segurança de Snaps, pode ajudá-lo a aprimorar seu processo de auditoria e identificar vulnerabilidades comuns.

Segurança de Snaps para e pela comunidade

Estamos aqui para apoiá-lo com auditorias, ferramentas e insights. Os Snap Security Essentials foram lançados em sua primeira versão e servem como referência para tudo relacionado à Segurança de Snaps. Este é um projeto aberto e convidamos todos a contribuir. Fique à vontade para enviar um pull request com qualquer coisa, desde pequenas correções até seções completamente novas. Estamos ansiosos para compartilhar e trabalhar juntos com vocês!

Vamos tornar os Snaps um espaço seguro. Visite o site do Snaps Essentials ou solicite uma auditoria hoje!

Martin Ortner (tintinweb)

Valentin Quelquejay

Martin e Valentin, profissionais de segurança da Consensys Diligence, estão na vanguarda da pesquisa de segurança de Snaps, trabalhando diligentemente para aprimorar a segurança da plataforma.