Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Bu ay ekibimiz, kripto güvenliğinin durumunu ele alan bir State of Security Twitter Space etkinliği için Wallet Guard ile bir araya geldi; Consensys'ten Harry Denley ise akıllı sözleşme güvenliğine ilişkin en iyi uygulamaları paylaştı. Gal Weizman ve Zbigniew Tenerowicz, LavaMoat'ın "scuttling" ve sandboxing özelliklerinin JavaScript tedarik zinciri saldırılarına karşı nasıl koruma sağladığını anlattı; Herman Junge ise DeFi Security Summit öncesinde yeni bir DeFi olay veritabanı olan Menpo'yu tanıttı. Bunların yanı sıra DeFiHackLabs'tan OWASP API Security Top 10'a kadar çeşitli öğrenme kaynaklarını da bir araya getirdik. Tüm ayrıntılar aşağıda, ancak önce...
Öne Çıkan STEM Öncüsü: Biyolog ve AIDS Araştırmacısı Bruce Voeller
Bruce Voeller (1934–1994), "AIDS" terimini ilk kullanan kişi olarak yaygın biçimde tanınan Amerikalı bir biyolog ve eşcinsel hakları aktivistiydi. HIV bulaşmasını ve koruyucu önlemlerin etkinliğini araştırdığı Mariposa Eğitim ve Araştırma Vakfı'nı kurdu. Voeller'ın risk altındaki bireyleri korumak için titiz, kanıta dayalı araştırma konusundaki ısrarı, sağlam güvenlik çalışmalarının gerektirdiği standartla örtüşmektedir: Varsayımları test et, ardından verilere göre hareket et.
Ekibimiz, Taylor Monahan liderliğinde düzenlenen State of Security: MetaMask x Wallet Guard Twitter Space etkinliğinde Wallet Guard ile bir araya gelerek kripto güvenliği üzerine kapsamlı bir tartışma yürüttü. Sohbet; tehditlerin evrimi, açık kaynak kullanımının önemi ve Atomic Wallet olayı gibi konuları kapsadı. Etkinlik, dinleyicilere her iki ekibin de hızla değişen tehdit ortamında kullanıcıları koruma konusundaki yaklaşımına dair samimi ve perde arkası bir bakış sundu.
MetaMask Security'den Harry Denley, Akıllı Sözleşme Güvenliğine İlişkin En İyi Uygulamaları Paylaşıyor
Coffee With Calyptus'un bir bölümünde Consensys'te güvenlik uzmanı olan Harry Denley, akıllı sözleşme güvenliğine yönelik en iyi uygulamaları paylaşarak iki MetaMask projesini öne çıkardı: MetaMask'ın yeteneklerini güvenli bir ortamda genişleten MetaMask Snaps ve JavaScript ekosistemi içinde çalışma zamanı korumaları sağlayan LavaMoat. Denley, güvenlik ile işlevsellik arasındaki dengeyi vurguladı: Akıllı sözleşmeler değiştirilemez olduğundan güvenliğe öncelik verilmeli, eklenen her işlev titizlikle test edilmeli ve kullanıcıları korumak amacıyla yeni bir sözleşmede kilitlenen değer kademeli olarak artırılmalıdır. Önerilen uygulamalar arasında güvenli tasarım ilkeleri, OpenZeppelin gibi güvenilir kütüphaneler, güvenlik odaklı geliştirici zihniyeti, kapsamlı testler, profesyonel kod incelemeleri ve ortaya çıkan risklere ilişkin sürekli eğitim yer aldı.
Herman Junge, DeFi Security Summit 2023'te STIX 2.1 Tabanlı DeFi Olay Veritabanı Menpo'yu Tanıtacak
15 Temmuz 2023'te Paris'te düzenlenen DeFi Security Summit'te Herman Junge, DeFi olaylarının kataloglanmasını standart hale getirmek için STIX 2.1 kullanan bir proje olan Menpo'yu zirve tarafından duyurulduğu üzere tanıtacak. Olayları tanımlamak için ortak bir sözlük sunan Menpo, kuruluşlar arası tehdit istihbaratı paylaşımını teşvik ederek güvenlik kaynaklarının daha verimli kullanılmasını ve olay raporlarının gerçek zamanlı olarak paylaşılmasını mümkün kılıyor.
Zbigniew Tenerowicz'in JavaScript Tedarik Zinciri Savunması Üzerine Konuşması
Bir DevSecConf24 konuşmasında Zbigniew Tenerowicz (ZB), yabancılardan gelen kodu çalıştırıp çalıştırmama gibi zorlu bir soruyu ele aldı. Beraberinde getirdiği risklere karşın bu uygulamanın teknoloji dünyasında yaygın olduğunu kabul etti. JavaScript projelerinin tedarik zinciri saldırılarına karşı nasıl proaktif biçimde korunabileceğini inceledi. Bu proaktif savunma, indirilen bir bağımlılığın zaten kötü amaçlı bir bağımlılıkla birlikte gönderildiği varsayımı üzerine kuruluydu. ZB, her paket için global değişkenlere erişimi kısıtlamak ve bir paketin ağa ya da dosya sistemine erişim yeteneğini kontrol etmek gibi yöntemler önerdi.
Bunun yanı sıra, JavaScript projelerinde yaygın bir güvenlik açığı olan prototype pollution sorununu ortadan kaldırmanın önemine de değindi. ZB ayrıca, özellikle TC39'da tartışılan gelecekteki JavaScript özelliklerine dikkat çekerek bu yeni özelliklerin projeleri bugünden korumak için nasıl kullanılabileceğini gösterdi. Daha pratik bir anlayış sunmak amacıyla ZB, gerçek kötü amaçlı yazılımın güvenli biçimde nasıl çalıştırılacağını gösteren ilgi çekici bir canlı demo gerçekleştirerek ele alınan savunma önlemlerinin önemini ve etkinliğini vurguladı.
Gal Weizman, LavaMoat'ın "Scuttling" Özelliğini Açıklıyor
Gal Weizman, LavaMoat'ın "scuttling" özelliğini sade bir dille anlattı. Uygulamalar çok sayıda üçüncü taraf koda bağımlıdır ve bu kodların herhangi biri kötü amaçlı hale gelebilir. LavaMoat, her bağımlılığı SES ile sandbox ortamına alarak yalnızca ihtiyaç duyduğu kaynaklara erişmesini sağlar. Ancak bir bağımlılık bu ortamdan kaçarak güçlü API'lerin bulunduğu global window nesnesine ulaşırsa bu ciddi bir sorun oluşturur. Scuttling, bu API'leri window nesnesinden kaldırarak kaçan bağımlılığın çıkmaz sokakla karşılaşmasını sağlar. Uygulama çalışmaya devam eder; saldırgan ise amacına ulaşamaz.
LavaMoat Güncellemesi: React Summit Konuşması, React Native Mobil Gelişmeleri, Snow ve ScorchWrap
DevSecConf24 konuşmasının yanı sıra, aynı konuyu ele alan ve yine Zbyszek tarafından sunulan React Summit 2023 on Git Nation videosu 5 Temmuz 2023'te izleyicilerle buluştu. Mobil tarafta, React Native iOS yerel animasyon koduna ilişkin kapsamlı bir inceleme (önceki araştırmanın devamı niteliğinde), üst ve alt düğümlerde başarısız olan assertion macro'larının gezinme sırasında WebView sayfa yüklemelerinin başarısız olmasına yol açtığını ortaya koydu; bu durum, yerel JSC Promise'leri lehine React Native'in global Promise polyfill'inin dışarıda bırakılmasıyla ilişkilendirildi; bu yaklaşım, doldurulmuş bir kök görünümüyle kilitli bir MetaMask mobil uygulamasını başlatmak için şu an itibarıyla gereklidir. Sonraki adımlar arasında kalan Detox iOS uçtan uca smoke testlerinin düzeltilmesi ve ardından Appium aracılığıyla Android desteğinin sağlanması yer alıyor. Öte yandan Snow, olası geçici çözümleri kapatan güncellemeler aldı; ScorchWrap webpack eklentisinin webpack'e özgü kısmı ise kararlı hale gelerek LavaMoat özelliklerinin entegrasyonuna zemin hazırladı.
Öğrenme Kaynakları: DeFiHackLabs, NFT Saldırı Vektörleri ve OWASP API Top 10
NFT'ler giderek daha popüler hale gelse de bu konuda açık ve anlaşılır bilgiye ulaşmak hâlâ güç; bu durum da NFT'leri dolandırıcılar ve hackerlar için sık başvurulan bir hedef haline getiriyor. Bu rapor çeşitli öğrenme kaynaklarını öne çıkardı. SunWeb3Sec/DeFiHackLabs, Foundry kullanarak DeFi hack olaylarını yeniden üretiyor; bugüne kadar 233 olay kayıt altına alındı. Buna ek olarak olayların temel nedenlerine ilişkin bir analiz ve yaygın akıllı sözleşme güvenlik açıklarını öğrenmek için bir yardımcı repo da sunuluyor. QuillAudits tarafından yönetilen Quillhash/NFT-Attack-Vectors, NFT'leri istismar etmek için kullanılan yaygın yöntemleri kataloglıyor. 2023 için OWASP API Security Top 10 ise geliştiricilerin bu yıl karşı tedbir alması gereken API risklerini sıralıyor.
MetaMask'ın Haziran 2023 Kripto Güvenlik Raporu; ilk MetaMask ve Wallet Guard State of Security Twitter Space etkinliğini, Harry Denley'nin Coffee With Calyptus'taki akıllı sözleşme güvenliği en iyi uygulamalarını ve JavaScript tedarik zinciri saldırılarına karşı savunma sağlayan LavaMoat'ın "scuttling" özelliğine ilişkin açıklamaları kapsadı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, trend ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
