Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В октябре 2022 года проект Endo выпустил SES v0.17.0 с долгожданным рефакторингом вычислителя «quadruple backflip», благодаря которому LavaMoat смог отказаться от собственных патчей SES, а сам LavaMoat получил глобальное скаттлинг и программный API. Среди угроз: Socket.dev раскрыл уязвимость npm bin script confusion — технику атаки на цепочку поставок, которая перехватывает легитимные CLI-команды через поле bin пакета, — от которой @lavamoat/allow-scripts уже был готов защитить. MetaMask также выступил на Devcon VI в Боготе с двумя докладами по безопасности, опубликовал глубокое исследование Гала Вайцмана о JavaScript realms и собрал более 4 000 участников на сообщественном звонке Security Essentials. Подробный разбор — ниже, но сначала...
Выдающийся деятель STEM: Фрэнсис Аллен, пионер оптимизации компиляторов
Фрэнсис Аллен (1932–2020) — американский учёный в области информатики, заложившая основы оптимизации компиляторов — науки об автоматическом преобразовании кода для повышения скорости и эффективности его выполнения — и внёсшая фундаментальный вклад в анализ программ и параллельные вычисления за десятилетия работы в IBM. В 2006 году она стала первой женщиной, удостоенной премии ACM Turing Award. Глубокий анализ процессов компиляции и выполнения программ, который разработала Аллен, служит той же основой, на которой такие инструменты, как SES и LavaMoat, строят логику анализа, изоляции и ограничения ненадёжного кода.
SES v0.17.0 выходит с рефакторингом вычислителя «quadruple backflip» для Endo
Проект Endo выпустил SES v0.17.0, включающий рефакторинг «quadruple backflip» вычислителя SES shim в многоуровневый стек областей видимости. Рефакторинг устраняет проблему утечки прокси области видимости и разделяет различные задачи обработки глобальной области видимости на отдельные уровни. Ключевое преимущество для зависимых проектов: LavaMoat теперь может использовать немодифицированный SES shim без поддержки собственных патчей. Параллельно продолжалась работа по внедрению политик в стиле LavaMoat в маппер компартментов Endo: текущий прототип поддерживает детальное управление глобальными переменными и встроенными объектами для каждого пакета, включая программное ослабление встроенных API.
Socket.dev раскрывает npm bin script confusion как вектор атаки на цепочку поставок
Компания по исследованию безопасности Socket.dev опубликовала раскрытие уязвимости npm bin script confusion — техники, при которой вредоносный npm-пакет использует поле bin для перехвата или подмены легитимных CLI-команд, включая сам node, при установке рядом с доверенными пакетами. Атаку сложнее обнаружить, чем типичные компрометации цепочки поставок, поскольку она эксплуатирует штатное поведение механизма связывания пакетов npm, а не внедряет вредоносный код в существующие модули. Позиция GitHub состоит в том, что данное поведение соответствует задуманной конструкции. Инструмент @lavamoat/allow-scripts от LavaMoat уже был готов нейтрализовать этот класс атак, контролируя, каким пакетам разрешено запускать установочные скрипты.
LavaMoat представляет глобальное скаттлинг и программный API
В октябре 2022 года LavaMoat выпустил 3 ключевых обновления. Глобальное скаттлинг захватывает глобальные ссылки, необходимые для наделения полномочиями на основе политик, а затем удаляет исходные ссылки из глобальной области видимости, предотвращая случайную передачу пакетами косвенных ссылок на мощные API. Новый программный API (require('lavamoat')) позволяет разработчикам интегрировать LavaMoat непосредственно в приложения и скрипты Node.js, а не использовать его исключительно как CLI-инструмент. Последний релиз @lavamoat/allow-scripts также добавил встроенную поддержку настройки проектов на базе Yarn 3.
MetaMask представляет два доклада по безопасности на Devcon VI в Боготе
В октябре 2022 года MetaMask выступил с 2 презентациями на тему безопасности на Devcon VI в Боготе, Колумбия. Антонела Дебиаси представила доклад «Usable Security in web3» на главной сцене, посвящённый задаче балансирования между безопасностью и удобством использования при проектировании самостоятельных кошельков для обеспечения более широкого распространения. Кумавис (сооснователь MetaMask и руководитель исследований в области безопасности) представил доклад «The Attacker is Inside: Javascript Supplychain Security and LavaMoat», посвящённый тому, как LavaMoat защищает от атак на цепочку поставок JavaScript в криптоэкосистеме.
Гал Вайцман публикует глубокое исследование о JavaScript realms и безопасности браузеров
Участник проекта LavaMoat Гал Вайцман опубликовал статью «What is a realm in JavaScript?» — техническое глубокое исследование сред выполнения, в которых работают JavaScript-программы. В статье объясняется, как злоумышленники эксплуатируют realms, созданные через iframe, для доступа к нетронутым нативным API в обход политик безопасности, применённых к окну верхнего уровня, — именно та поверхность атаки, для закрытия которой был создан инструмент Snow от LavaMoat.
Сообщественный звонок MetaMask по основам безопасности собирает более 4 000 участников
Команда сообщества MetaMask провела звонок Security Essentials, посвящённый базовым практикам безопасности для пользователей самостоятельных кошельков. В прямом эфире приняли участие более 4 000 человек; обсуждались темы безопасности секретной фразы восстановления, распознавания фишинга и верификации транзакций.
Отчёт MetaMask о криптобезопасности за октябрь 2022 года охватывал выпуск SES v0.17.0 с рефакторингом вычислителя «quadruple backflip», раскрытие Socket.dev уязвимости npm bin script confusion как вектора атаки на цепочку поставок, эксплуатирующего механизм связывания пакетов npm, а также внедрение в LavaMoat глобального скаттлинга для предотвращения утечек косвенных ссылок на мощные API. Просматривайте предыдущие выпуски отчёта MetaMask о криптобезопасности, чтобы узнавать об угрозах, тенденциях и советах по безопасности в экосистеме.
