Her ay MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırılarını ve ortaya çıkan riskleri raporluyor.
Haziran 2022'de Endo ve LavaMoat projeleri, derleme sürecini güçlendirmek amacıyla import.meta, require.resolve ve Yarn 3 desteğini kullanıma sundu; MetaMask'ın hata ödül programı ise HackerOne üzerinde yayına girdi. Metrikler açısından değerlendirildiğinde, Bilgisayar Olay Müdahale Ekibi 2022'nin ilk yarısında 38 bileti kapattı ve ortalama onarım süresi 40,39 gün olarak gerçekleşti. MetaMask, kriptografik kaygılar nedeniyle eth_decrypt ve eth_getEncryptionPublicKey API yöntemlerini kullanımdan kaldırdı. Ayın öne çıkan iki açıklaması şunlar oldu: Halborn, şifrelenmemiş bir sürücüde düz metin olarak önbelleğe alınmış Gizli Kurtarma İfadesi bırakabilecek bir disk şifreleme zafiyeti olan "Demonic"i (CVE-2022-32969) ortaya çıkararak 50.000 dolar kazandı; United Global Whitehat Security Team ise Uzantı'daki kritik bir clickjacking açığı için 120.000 dolarlık ödülün sahibi oldu. Ayrıntılı döküm aşağıda yer alıyor; ancak önce...
Öne çıkan STEM öncüsü: Açık anahtarlı kriptografinin ortak mucidi Whitfield Diffie
Whitfield Diffie, Martin Hellman ve Ralph Merkle ile birlikte Kasım 1976'da "New Directions in Cryptography" adlı makaleyi yayımladı. Bu makale, önceden paylaşılan bir gizli anahtar olmaksızın güvenli iletişimi mümkün kılan Diffie-Hellman anahtar değişim protokolünü dünyaya tanıttı. Söz konusu protokol, TLS, SSH ve kendi kendine saklama cüzdanı kullanıcılarının her gün güvendiği şifreli kanalların temelini oluşturmaktadır. Diffie, 2015 yılında ACM Turing Ödülü'ne layık görüldü ve 2011 yılında Ulusal Mucitler Onur Listesi'ne alındı.
Clickjacking zafiyeti UGWST'ye 120.000 dolarlık ödül kazandırdı
MetaMask, MetaMask Uzantısı'ndaki kritik bir clickjacking zafiyetini sorumlu bir şekilde bildiren United Global Whitehat Security Team'e (UGWST) 120.000 dolarlık ödül verdi. Saldırı, uzantı arayüzünü kötü amaçlı bir web sitesinin üzerine katmanlanmış görünmez bir iframe olarak sunuyor; böylece kullanıcıları farkında olmadan işlemleri onaylamaya ve özel verilerini ifşa etmeye yönlendiriyordu. Yama yayımlanmadan önce herhangi bir istismar vakası yaşanmadı. MetaMask Uzantısı'nın 10.14.6 veya daha yeni bir sürümünü kullanan kullanıcılar bu açığa karşı korunmaktadır.
Halborn'un "Demonic" açıklaması tarayıcı cüzdanları için disk şifreleme riskini gün yüzüne çıkardı
Halborn'daki güvenlik araştırmacıları, "Demonic" kod adıyla bilinen CVE-2022-32969 zafiyetini kamuoyuyla paylaştı. Bu açıkta, içe aktarma sırasında girilen Gizli Kurtarma İfadesi, tarayıcının oturum geri yükleme mekanizması tarafından diske düz metin olarak önbelleğe alınabiliyordu. Risk, üç koşulun bir arada bulunması durumunda ortaya çıkıyordu: sabit diskin şifrelenmemiş olması, Gizli Kurtarma İfadesi'nin güvenliği ihlal edilmiş ya da güvenilmeyen bir cihazda içe aktarılması ve içe aktarma sırasında "Gizli Kurtarma İfadesini Göster" onay kutusunun işaretlenmiş olması. MetaMask, Uzantı'nın 10.11.3 ve sonraki sürümlerinde gerekli önlemleri hayata geçirdi. MetaMask Mobile bu açıktan etkilenmedi. Halborn, keşif karşılığında 50.000 dolar ödül aldı.
MetaMask olay müdahalesi, 2022'nin ilk yarısında 40,39 günlük MTTR ile 38 bileti kapattı
MetaMask Bilgisayar Olay Müdahale Ekibi (CIRT), 2022'nin ilk yarısında 38 bileti kapattı. Biletlerin büyük çoğunluğu dış raporlayıcılar tarafından iletildi; bu sayı, denetimler ve iç kaynaklardan gelen toplam bilet sayısının iki katından fazlasına ulaştı. Sorumlu ekip bazında değerlendirildiğinde en büyük pay Uzantı ekibine ait olurken bunu Güvenlik odaklı (ürünler arası) sorunlar ve Mobil takip etti. 38 biletin 13'ünde CVSS puanı yer aldı: 1 Kritik — clickjacking ödül zafiyeti — 9 Orta ve 3 Düşük. Raporlayıcılar tarafından iletilen biletler, sorun başına 28,53 günlük süreyle en hızlı çözüme kavuştu. Genel Ortalama Onarım Süresi ise 40,39 gün olarak gerçekleşti.
eth_decrypt ve eth_getEncryptionPublicKey kriptografik kaygılar nedeniyle kullanımdan kaldırıldı
MetaMask, eth_decrypt ve eth_getEncryptionPublicKey API yöntemlerini kullanımdan kaldırdı. EIP-1024 (sonradan terk edilmiştir) doğrultusunda geliştirilen her iki yöntem de imzalama ve şifreleme işlemleri için farklı eliptik eğriler üzerinde aynı özel anahtarı yeniden kullanıyor; bu durum ek saldırı vektörlerine kapı aralıyor. Bilinen herhangi bir istismar vakası bulunmamakla birlikte, tasarımın kullanımı teşvik etmeye devam etmek için yeterince güvenli olmadığına karar verildi. Üçüncü taraf entegratörlere geçiş için zaman tanımak amacıyla yöntemler işlevselliğini korumaya devam etmektedir.
Endo import.meta ve require.resolve desteği tamamlandı
Endo projesi, Compartments için import.meta desteğini birleştirdi. Bu süreçte, import.meta düğümlerinin halihazırda dönüştürülmüş dışa aktarma tanımlarının içinde bile ziyaret edilip dönüştürüldüğünden emin olmak için static-module-record'daki Babel eklentisinde düzenlemeler yapılması gerekti. Ardından gelen compartment-mapper'a import.meta.url desteği ekleyen PR (endojs/endo #1202), compartment-mapper'ın importLocation işlevselliğine import.meta.url desteği kazandırdı (Arşivlerde mevcut değildir). Ayrı olarak, CommonJS uygulamasına require.resolve işlevi eklendi; bu işlev varsayılan olarak hata fırlatmakla birlikte ReadPowers aracılığıyla özel bir uygulama kabul etmektedir. Bu değişiklikler, planlanan CJS destek yol haritasını tamamladı.
LavaMoat Yarn 3 desteği ve açık politika redlerini kullanıma sundu
LavaMoat, allow-scripts için Yarn 3 desteğini yayımladı; korumalı projelerin ilk kez klonlanmasında yarn kurulumunu yönetmek üzere bir eklenti eklendi. İkinci bir güncellemeyle policy-overrides.json dosyasına açık false değerleri getirildi; böylece projeler belirli endowment'ları reddedebiliyor ve politika birleştirmeleri sırasında nesne alanlarının aşırı açığa çıkmasının önüne geçebiliyor.
HackerOne hata ödül programı başlatıldı
MetaMask, Haziran 2022'de HackerOne üzerinde hata ödül programını başlattı. Program, MetaMask Uzantısı GitHub deposunu ve MetaMask Mobile GitHub deposunu kapsamaktadır.
MetaMask'ın Haziran 2022 Kripto Güvenlik Raporu; UGWST'ye verilen 120.000 dolarlık clickjacking ödülünü, Halborn'un tarayıcı cüzdanlarını etkileyen "Demonic" disk şifreleme zafiyeti açıklamasını ve MetaMask'ın kriptografik kaygılar nedeniyle eth_decrypt ile eth_getEncryptionPublicKey'i kullanımdan kaldırmasını ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
