Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Ekim 2022'de Endo projesi SES v0.17.0'ı yayımladı; bu sürüm, LavaMoat'ın özel SES yamalarını bırakmasına olanak tanıyan uzun süredir beklenen "quadruple backflip" değerlendirici yeniden yapılandırmasını hayata geçirirken, LavaMoat'ın kendisi de global scuttling ve programatik bir API ekledi. Tehdit cephesinde ise Socket.dev, npm bin script karışıklığını açıkladı; bu, bir paketin bin alanı aracılığıyla meşru CLI komutlarını ele geçiren bir tedarik zinciri tekniğidir ve @lavamoat/allow-scripts bu tür saldırıları azaltmak için zaten hazır konumdaydı. MetaMask ayrıca Bogota'daki Devcon VI'da iki güvenlik konuşmasıyla sahne aldı, Gal Weizman'ın JavaScript realm'leri üzerine hazırladığı derinlemesine incelemeyi yayımladı ve bir topluluk Güvenlik Temelleri çağrısına 4.000'den fazla katılımcı çekti. Tam döküm aşağıda, ama önce...
Öne çıkan STEM öncüsü: Derleyici optimizasyonunun öncüsü Frances Allen
Frances Allen (1932–2020), derleyici optimizasyonu alanına öncülük eden Amerikalı bir bilgisayar bilimcisiydi. Derleyici optimizasyonu; kodun daha hızlı ve verimli çalışması için otomatik olarak dönüştürülmesi bilimidir. Allen, IBM'deki onlarca yıllık kariyeri boyunca program analizi ve paralel hesaplama alanlarına temel katkılar sağladı. 2006 yılında ACM Turing Ödülü'nü alan ilk kadın oldu. Allen'ın öncülük ettiği, programların nasıl derleneceğine ve yürütüleceğine ilişkin derin analiz; SES ve LavaMoat gibi araçların güvenilmeyen kodu değerlendirmek, izole etmek ve kısıtlamak için üzerine inşa edildiği temel ile aynıdır.
SES v0.17.0, Endo için "quadruple backflip" değerlendirici yeniden yapılandırmasını sunuyor
Endo projesi SES v0.17.0'ı yayımladı; bu sürüm, SES shim'inin değerlendiricisinin çok katmanlı bir kapsam yığınına dönüştürülmesine yönelik "quadruple backflip" yeniden yapılandırmasını içeriyor. Bu yeniden yapılandırma, kapsam proxy'sinin sızabileceği bir sorunu gideriyor ve global kapsam işlemesindeki farklı endişeleri ayrı katmanlara ayırıyor. Önemli bir aşağı yönlü fayda olarak LavaMoat, artık kendi yamalarını sürdürmek zorunda kalmadan değiştirilmemiş SES shim'ini kullanabiliyor. LavaMoat tarzı politikaların Endo'nun bölme eşleyicisine entegre edilmesine yönelik paralel çalışmalar da sürdü; mevcut kavram kanıtı, programatik yerleşik API zayıflatması da dahil olmak üzere paket başına global'ler ve yerleşikler üzerinde ayrıntılı kontrol desteği sunuyor.
Socket.dev, npm bin script karışıklığını bir tedarik zinciri saldırı vektörü olarak açıklıyor
Güvenlik araştırma firması Socket.dev, npm bin script karışıklığına ilişkin bir açıklama yayımladı. Bu teknikte kötü amaçlı bir npm paketi, güvenilir paketlerle birlikte kurulduğunda node'un kendisi de dahil olmak üzere meşru CLI komutlarını gölgelemek veya ele geçirmek için bin alanını kullanıyor. Saldırı, mevcut modüllere kötü amaçlı kod enjekte etmek yerine npm'nin paket bağlama tasarım davranışından yararlandığı için tipik tedarik zinciri ihlallerine kıyasla tespit edilmesi daha zor. GitHub'ın tutumu, bu davranışın tasarlandığı şekilde çalıştığı yönünde. LavaMoat'ın @lavamoat/allow-scripts aracı, hangi paketlerin kurulum komut dosyası çalıştırmasına izin verileceğini kontrol ederek bu tür saldırıları azaltmak için zaten hazır konumdaydı.
LavaMoat, global scuttling ve programatik API sunuyor
LavaMoat, Ekim 2022'de 3 önemli güncelleme yayımladı. Global scuttling, politika tabanlı donatım için gereken global referansları yakalayarak orijinal referansları global kapsamdan kaldırıyor ve paketlerin güçlü API'lere dolaylı referansları yanlışlıkla iletmesini önlüyor. Yeni bir programatik API (require('lavamoat')), geliştiricilerin LavaMoat'ı yalnızca bir CLI aracı olarak kullanmak yerine doğrudan Node.js uygulamalarına ve komut dosyalarına entegre etmesine olanak tanıyor. @lavamoat/allow-scripts'in en son sürümü de Yarn 3 tabanlı projelerin yapılandırılması için kullanıma hazır destek ekledi.
MetaMask, Bogota'daki Devcon VI'da iki güvenlik konuşması sunuyor
MetaMask, Ekim 2022'de Kolombiya'nın Bogota şehrinde düzenlenen Devcon VI'da güvenlik odaklı 2 sunum gerçekleştirdi. Antonela Debiasi, ana sahnede "Web3'te Kullanılabilir Güvenlik" başlıklı sunumunu yaparak daha geniş bir benimsemeyi desteklemek amacıyla kendi kendine saklama cüzdanı tasarımında güvenlik ve kullanılabilirlik dengesini kurmanın zorluğunu ele aldı. Kumavis (MetaMask kurucu ortağı ve güvenlik araştırma lideri) ise "Saldırgan İçeride: Javascript Tedarik Zinciri Güvenliği ve LavaMoat" başlıklı sunumunda LavaMoat'ın kripto ekosistemindeki JavaScript tedarik zinciri saldırılarına karşı nasıl savunma sağladığını anlattı.
Gal Weizman, JavaScript realm'leri ve tarayıcı güvenliği üzerine derinlemesine inceleme yayımladı
LavaMoat katkıcısı Gal Weizman, JavaScript programlarının çalıştığı yürütme ortamlarına ilişkin teknik bir derinlemesine inceleme olan "JavaScript'te realm nedir?" başlıklı makaleyi yayımladı. Makale, saldırganların üst düzey pencereye uygulanan güvenlik politikalarını atlayarak değiştirilmemiş yerel API'lere erişmek için iframe tarafından oluşturulan realm'leri nasıl kullandığını açıklıyor; bu, LavaMoat'ın Snow aracının kapatmak için tasarlandığı tam saldırı yüzeyidir.
MetaMask topluluk güvenlik temelleri çağrısı 4.000'den fazla katılımcı çekiyor
MetaMask'ın topluluk ekibi, kendi kendine saklama cüzdanı kullanıcıları için temel güvenlik uygulamalarını kapsayan bir Güvenlik Temelleri çağrısı düzenledi. 4.000'den fazla katılımcının canlı oturuma iştirak ettiği etkinlikte Gizli Kurtarma İfadesi güvenliği, kimlik avı tanıma ve işlem doğrulama gibi konular ele alındı.
MetaMask'ın Ekim 2022 Kripto Güvenlik Raporu; "quadruple backflip" değerlendirici yeniden yapılandırmasını hayata geçiren SES v0.17.0 sürümünü, Socket.dev'in npm paket bağlama tasarımından yararlanan bir tedarik zinciri saldırı vektörü olarak npm bin script karışıklığını açıklamasını ve LavaMoat'ın güçlü API'lere dolaylı referans sızıntılarını önlemek amacıyla global scuttling'i hayata geçirmesini kapsadı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
