Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Mayıs 2022 sayısı; MetaMask'ın HackerOne bug bounty programının lansmanını, Endo'nun MetaMask bağımlılık uyumluluğunu ilerletmek amacıyla import.meta ve __dirname'i uygulamasını ve MetaMask Flask'ta çok taraflı hesaplama imzalamasını gösteren dağıtık anahtar üretimi prototip snap'ini kapsıyordu. Ayrıntılara dalmadan önce...
Öne çıkan STEM öncüsü: RSA'nın ortak mucidi ve gizli paylaşımın yaratıcısı Adi Shamir
Adi Shamir, 1977 yılında Ron Rivest ve Leonard Adleman ile birlikte RSA algoritmasını ortak olarak icat eden İsrailli bir kriptografisttir. İlk pratik açık anahtarlı kriptosistem olan bu buluş, üçlüye 2002 yılında Turing Ödülü'nü kazandırdı. 1979'da yayımladığı "How to Share a Secret" (Bir Sırrı Nasıl Paylaşırsınız) adlı makalesinde, bir sırrı parçalara bölen ve orijinali yeniden oluşturmak için yalnızca belirli bir eşik sayıda parçanın yeterli olduğu Shamir's Secret Sharing şemasını tanıttı. Bu özellik, bu raporda ele alınan dağıtık anahtar üretimi çalışmasının temelini oluşturmaktadır.
MetaMask, HackerOne bug bounty programını başlatıyor
MetaMask, Haziran 2022'de HackerOne üzerinde bug bounty programını başlattı. Bu sayede güvenlik araştırmacıları, MetaMask ürünlerindeki güvenlik açıklarını resmi bir kanal aracılığıyla raporlayabilir hale geldi.
Endo, import.meta ve __dirname'i uygulayarak MetaMask bağımlılık uyumluluğunu ilerletiyor
Nisan 2022'de Endo'nun CommonJS desteğinde kaydedilen ilerlemeyle birlikte, uçtan uca test sonuçları, popüler modüllerin çalıştırılmasındaki en büyük engellerin import.meta.url ve __dirname desteği olduğunu ortaya koydu.
3 Mayıs 2022'de Agoric, MetaMask ve Moddable arasında gerçekleştirilen toplantı, modül içe aktarma sürecinde import.meta'nın ne zaman işlenmesi gerektiğine dair bir anlaşmayla sonuçlandı. importMetaHook kavramı, Compartment spesifikasyonuna eklendi. Hook, yalnızca statik analiz modülün import.meta'ya eriştiğini gösterdiğinde çağrılır; zira Node.js bu noktaya bir resolve fonksiyonu ekler ve bu fonksiyonun oluşturulması maliyetlidir; dolayısıyla hook'u yalnızca sonuçlarının kullanılabileceği durumlarda çağırmak en doğru yaklaşımdır.
import.meta'nın uygulaması tamamlandı (spec issue, implementation PR). Geriye kalan, import.meta.url'nin Endo içindeki modüllere varsayılan olarak aktarılmasının uygulanmasıdır. __dirname'in uygulaması da tamamlandı (PR); doğruluğu ve Windows yolu desteğini sağlamak için birden fazla iterasyon gerçekleştirildi.
Bunlara ek olarak, .js dosyaları için varsayılan modül türü varsayımını değiştiren iç içe package.json dosyaları için destek eklendi. Böylece compartment-mapper, hem CommonJS hem de ES modül spesifikasyonlarını desteklemek amacıyla tasarlanmış karmaşık yapılara sahip paketleri işleyebilir hale geldi (kaynak).
__esModule davranış desteği askıya alındı. İki uygulama girişimi de uçtan uca testlerde daha düşük puanlarla sonuçlandı. Üçüncü bir yaklaşım olan destek mantığının SES içindeki ThirdPartyModuleInstance'a yerleştirilmesi ise tartışmalı bulunmaktadır. Özellik, issue #927 kapsamında takip edilmektedir.
Dağıtık anahtar üretimi prototip snap'i, MetaMask Flask'ta MPC imzalamasını sergiliyor
Çok taraflı hesaplama (MPC) yetenekleri konusunda önemli adımlar atıldı. Ekibimiz, daha önceki kavram kanıtı WebAssembly (WASM) bağlamalarını alarak MetaMask Flask'ta kullanılabilen bir prototip snap oluşturdu. Bu snap, dağıtık anahtar üretimini (DKG) ve mesaj imzalamayı gözler önüne seriyor. Snap; anahtar üretimi ve imzalama için kanıtların kaydedilmesinin yanı sıra anahtar paylarının dışa ve içe aktarılmasını da destekliyor.
Arka planda paket, GG2020'nin (Gennaro ve Goldfeder 2020, makale) bir uygulamasından yararlanıyor. Bu protokol, katılımcıların aynı anda çevrimiçi olmalarına gerek kalmadan eş zamansız olarak katılabilmesini sağlayan etkileşimsiz bir çevrimiçi aşamayı destekliyor ve işlemi terk eden tarafların verimli biçimde tespit edilmesine olanak tanıyor.
Sonraki adımlar arasında, snap kodundaki anahtar paylarının manuel şifrelenmesini ortadan kaldırmak amacıyla snap_manageState'e şifreleme desteği eklenmesi ve ardından işlem imzalama desteğinin hayata geçirilmesi yer alıyor. Prototip, tss-snap deposunda (başlangıçta ecdsa-wasm olarak yayımlanmıştır) takip edilmektedir.
MetaMask'ın Mayıs 2022 Kripto Güvenlik Raporu; MetaMask'ın modül uyumluluk zinciri için Endo'nun import.meta ve __dirname uygulamasını ve MetaMask Flask'ta çok taraflı hesaplama imzalamasını gösteren dağıtık anahtar üretimi prototip snap'ini ele aldı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, trend ve ipucu için MetaMask kripto güvenlik raporunun önceki sayılarına göz atın.
