Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В этом месяце наша команда присоединилась к Wallet Guard на Twitter Space «Состояние безопасности», посвящённом криптобезопасности, а Гарри Денли из Consensys поделился лучшими практиками безопасности смарт-контрактов. Гал Вайзман и Збигнев Тенерович объяснили, как функция «scuttling» и песочница LavaMoat защищают от атак на цепочку поставок JavaScript, а Херман Хунге представил предварительный обзор Menpo — новой базы данных инцидентов DeFi — накануне DeFi Security Summit. Мы также собрали учебные ресурсы: от DeFiHackLabs до OWASP API Security Top 10. Подробный разбор — ниже, но сначала...
Выдающийся пионер STEM: Брюс Воллер, биолог и исследователь СПИДа
Брюс Воллер (1934–1994) — американский биолог и активист за права ЛГБТ, которому широко приписывают введение термина «СПИД». Он основал Образовательно-исследовательский фонд Марипоса, где изучал передачу ВИЧ и эффективность защитных мер. Настойчивость Воллера в проведении строгих, основанных на доказательствах исследований для защиты людей из группы риска отражает тот же стандарт, которого требует качественная работа в области безопасности: проверяй допущения, а затем действуй на основе данных.
Наша команда присоединилась к Wallet Guard на Twitter Space «Состояние безопасности»: MetaMask x Wallet Guard Twitter Space под руководством Тейлор Монахан для глубокого обсуждения криптобезопасности. Разговор охватил эволюцию угроз, важность открытого исходного кода и инцидент с Atomic Wallet, а также другие темы. Слушатели получили откровенный взгляд за кулисы на то, как обе команды подходят к защите пользователей в условиях быстро меняющегося ландшафта угроз.
Гарри Денли из MetaMask Security делится лучшими практиками безопасности смарт-контрактов
В одном из выпусков Coffee With Calyptus Гарри Денли, эксперт по безопасности в Consensys, поделился лучшими практиками безопасности смарт-контрактов и выделил два проекта MetaMask: MetaMask Snaps, расширяющий возможности MetaMask в безопасной среде, и LavaMoat, обеспечивающий защиту во время выполнения в экосистеме JavaScript. Денли подчеркнул важность баланса между безопасностью и функциональностью: поскольку смарт-контракты неизменяемы, безопасности следует уделять первостепенное внимание, а любую добавленную функциональность тщательно тестировать; постепенное увеличение заблокированной стоимости в новом контракте — один из способов защиты пользователей. Среди рекомендованных им практик — принципы безопасного проектирования, проверенные библиотеки вроде OpenZeppelin, ориентированное на безопасность мышление разработчика, всестороннее тестирование, профессиональные проверки кода и непрерывное обучение в отношении новых рисков.
Херман Хунге представит Menpo — базу данных инцидентов DeFi на основе STIX 2.1 — на DeFi Security Summit 2023
На DeFi Security Summit в Париже 15 июля 2023 года Херман Хунге представит Menpo — проект, использующий STIX 2.1 для стандартизации каталогизации инцидентов DeFi, как анонсировал саммит. Предоставляя общий словарь для описания инцидентов, Menpo способствует межорганизационному обмену данными об угрозах, обеспечивая более эффективное распределение ресурсов безопасности и обмен отчётами об инцидентах в режиме реального времени по мере их развития.
Доклад Збигнева Тенеровича о защите цепочки поставок JavaScript
В докладе на DevSecConf24 Збигнев Тенерович (ZB) затронул непростой вопрос: запускать или не запускать код от незнакомцев. Несмотря на присущие этому риски, он признал, что в технологическом мире это распространённая практика. Он исследовал область JavaScript-проектов, в частности рассматривая, как они могут проактивно защититься от атак на цепочку поставок. Эта проактивная защита обсуждалась исходя из допущения, что загруженная зависимость уже содержит вредоносную зависимость. ZB предложил такие методы, как ограничение доступа к глобальным переменным для каждого пакета и контроль возможности пакета обращаться к сети или файловой системе.
Кроме того, он затронул важный вопрос устранения загрязнения прототипов — распространённой уязвимости в JavaScript-проектах. ZB также обратил внимание на будущие возможности JavaScript, в частности на те, что сейчас обсуждаются в TC39. Он продемонстрировал, как эти новые возможности можно использовать для защиты проектов уже сегодня. Для более практического понимания ZB провёл увлекательную живую демонстрацию, показав, как безопасно запустить реальное вредоносное ПО, тем самым подчеркнув важность и эффективность обсуждаемых защитных мер.
Гал Вайзман объясняет функцию «scuttling» в LavaMoat
Гал Вайзман объяснил «scuttling» в LavaMoat простыми словами. Приложения зависят от огромного количества стороннего кода, и любой его фрагмент может оказаться вредоносным. LavaMoat помещает каждую зависимость в песочницу с помощью SES, чтобы она получала только то, что ей необходимо. Но если одна из них вырвется и достигнет глобального объекта window — где находятся мощные API — это становится проблемой. Scuttling удаляет эти API из window, так что вырвавшаяся зависимость оказывается в тупике. Приложение продолжает работать; злоумышленник — нет.
Обновление LavaMoat: доклад на React Summit, прогресс React Native для мобильных устройств, Snow и ScorchWrap
Помимо доклада на DevSecConf24, видео на ту же тему с React Summit 2023 на Git Nation, также представленное Збышеком, стало доступно 5 июля 2023 года. На мобильном направлении глубокое погружение в код нативной анимации React Native iOS (после предыдущего исследования) позволило отследить сбои макросов утверждений на родительских и дочерних узлах до неудачных загрузок страниц WebView при навигации, что в конечном счёте связано с исключением глобального полифила Promise из React Native в пользу нативных JSC Promises — что в настоящее время необходимо для запуска заблокированного мобильного MetaMask с заполненным корневым представлением. Следующие шаги включают исправление оставшихся сквозных smoke-тестов Detox для iOS и последующую поддержку Android через Appium. Помимо этого, Snow получил обновления, устраняющие дополнительные потенциальные обходные пути, а webpack-специфичная часть плагина ScorchWrap для webpack стабилизируется, открывая путь к началу интеграции функций LavaMoat.
Учебные ресурсы: DeFiHackLabs, векторы атак на NFT и OWASP API Top 10
Несмотря на растущую популярность NFT, чёткой и доступной информации о них по-прежнему мало, что делает их частой мишенью для мошенников и хакеров. В этом отчёте выделено несколько учебных ресурсов. SunWeb3Sec/DeFiHackLabs воспроизводит инциденты взлома DeFi с помощью Foundry — на сегодняшний день 233 инцидента — вместе с анализом первопричин инцидентов и сопутствующим репозиторием для изучения распространённых уязвимостей смарт-контрактов. Quillhash/NFT-Attack-Vectors, поддерживаемый QuillAudits, каталогизирует распространённые методы эксплуатации NFT. А OWASP API Security Top 10 за 2023 год перечисляет риски API, от которых разработчикам следует защититься в этом году.
Отчёт MetaMask о криптобезопасности за июнь 2023 года охватил первый Twitter Space «MetaMask и Wallet Guard: Состояние безопасности», лучшие практики безопасности смарт-контрактов от Гарри Денли на Coffee With Calyptus, а также объяснение функции «scuttling» в LavaMoat для защиты от атак на цепочку поставок JavaScript. Просматривайте предыдущие выпуски Отчёта MetaMask о криптобезопасности, чтобы узнавать об угрозах, тенденциях и советах по безопасности в экосистеме.
