Σπάζοντας τον κώδικα του DeFi Τρωτά σημεία: Η βαθιά κατάδυση της Alp Bassa στην έξυπνη ασφάλεια συμβάσεων
Εν συντομία
Ο Alp Bassa, ερευνητής στο Veridise, συζητά για καινοτόμα εργαλεία, ελέγχους απόδειξης μηδενικής γνώσης και το μέλλον της ασφάλειας του blockchain.
Σε αυτή την αποκλειστική συνέντευξη, που λήφθηκε κατά τη διάρκεια του συνεδρίου Hack Seasons, Αλπ Μπάσα, Ερευνητής στο Επαληθεύστε, μοιράζεται πληροφορίες για τα καινοτόμα εργαλεία της Veridise, τις περιπλοκές των ελέγχων απόδειξης μηδενικής γνώσης και το μέλλον της ασφάλειας του blockchain. Κατά τη διάρκεια της συζήτησης, θα εξερευνήσουμε τη διασταύρωση των μαθηματικών, της κρυπτογραφίας και της τεχνολογίας blockchain μέσα από τα μάτια ενός από τους κορυφαίους ειδικούς του κλάδου.
Πολλοί επιχειρηματίες ελκύονται στον τομέα τους από μια συγκεκριμένη στιγμή ή ένα γεγονός. Σε ποιο ήταν το ταξίδι σας Web3?
Προέρχομαι από ακαδημαϊκό υπόβαθρο. Είμαι μαθηματικός που έκανε έρευνα στη θεωρία αριθμών, εστιάζοντας στις καμπύλες σε πεπερασμένα πεδία, στις ελλειπτικές καμπύλες και στις εφαρμογές τους στη θεωρία κωδικοποίησης και στην κρυπτογραφία. Αυτά τα εργαλεία χρησιμοποιούνται σε μεγάλο βαθμό, ειδικά τώρα με την κρυπτογραφία μηδενικής γνώσης που έχει μεγαλύτερη επιρροή στην Web3 χώρος.
Είδα ότι συνέβαιναν πολλά ενδιαφέροντα πράγματα εκεί. Στη συνέχεια άρχισα να εργάζομαι στην Veridise, όπου κάνουν ελέγχους ασφαλείας και ειδικεύονται ιδιαίτερα στον τομέα ZK, όπου η τεχνογνωσία μου ταιριάζει πολύ καλά.
Γιατί χρειαζόμαστε ακόμη και ελέγχους ασφαλείας; Μπορούν οι προγραμματιστές να λειτουργήσουν χωρίς αυτά ή είναι υποχρεωτικά;
Η ασφάλεια των συστημάτων απαιτεί μια διαφορετική νοοτροπία που πρέπει να υιοθετήσετε ήδη στο στάδιο ανάπτυξης. Δεν μπορούν όλοι οι προγραμματιστές να επικεντρωθούν σε όλες τις πτυχές της διαδικασίας ανάπτυξης ταυτόχρονα – διασφαλίζοντας τις σωστές προδιαγραφές, συμπεριφορά, αποτελεσματικότητα, ενσωμάτωση σε μια μεγαλύτερη εγκατάσταση και ασφάλεια. Τις περισσότερες φορές, η ασφάλεια είναι μια πτυχή που δεν καλύπτεται καλά σε όλη τη διαδικασία ανάπτυξης.
Έχει γίνει σχεδόν αδύνατο για έναν προγραμματιστή να έχει αρκετή αυτοπεποίθηση με διάφορα πολύπλοκα εργαλεία για να εγγυηθεί ότι χρησιμοποιούνται σωστά και ότι δεν υπάρχουν τρωτά σημεία. Είναι απλώς μια διαφορετική νοοτροπία που πρέπει να εφαρμοστεί. Γι' αυτό οι έλεγχοι είναι χρήσιμοι.
Μπορείτε να αναλύσετε τα εσωτερικά εργαλεία που έχει αναπτύξει η Veridise και πώς βελτιώνουν την ποιότητα του ελέγχου;
Υπάρχει ένα ευρύ φάσμα εργαλείων που μπορούν να χρησιμοποιηθούν. Μερικά είναι πιο πρωτόγονα, αλλά δεν απαιτούν πολύ φόντο και είναι εύκολα προσβάσιμα, όπως τα fuzzer. Μερικά είναι στη μέση, όπως τα εργαλεία στατικής ανάλυσης. Είναι αρκετά γρήγορα αλλά όχι πολύ ακριβή – μπορούν να δώσουν κάποια ψευδώς θετικά στοιχεία.
Στη συνέχεια, υπάρχουν εργαλεία που υποστηρίζονται σε μεγάλο βαθμό από μαθηματικά, βασισμένα σε λύτες SMT και άλλο μαθηματικό υπόβαθρο. Αυτά είναι πολύ ακριβή αλλά υπολογιστικά βαριά. Χρησιμοποιούμε έναν συνδυασμό όλων αυτών των εργαλείων, το καθένα με τα πλεονεκτήματα και τα μειονεκτήματά του, για να εντοπίσουμε σφάλματα και ευπάθειες.
Ποια είναι μερικά από τα μοναδικά ζητήματα ασφαλείας για τα οποία ασχολείται η Veridise DeFi πρωτόκολλα;
Για DeFi πρωτόκολλα, έχουμε ένα εργαλείο στατικής ανάλυσης όπου λέτε εκ των προτέρων στο σύστημα τι είδους τρωτά σημεία να αναζητήσει ή ποιες δομές να στοχεύσει. Είναι πολλοί από αυτούς. Για παράδειγμα, οι επιθέσεις επανεισόδου ήταν υπεύθυνες για το χακάρισμα του DAO του 2016. Οι επιθέσεις φλας δανείων αξιοποιήθηκαν στην επίθεση στην Cream Finance, η οποία προκάλεσε την κλοπή περίπου 130 εκατομμυρίων δολαρίων.
Μέσα από την εμπειρία μας κατά τα χρόνια του ελέγχου, έχουμε μια καλή επισκόπηση των τρωτών σημείων και τα εργαλεία μας είναι φτιαγμένα για να τα ελέγχουμε για όλα αυτά. Κατά τη διάρκεια των ελέγχων μας, τα εξετάζουμε ένα προς ένα λεπτομερώς για να δούμε αν εμφανίζονται τέτοιοι κίνδυνοι.
Αναλύστε περισσότερο τον τρόπο χρήσης της τεχνολογίας ZK και γιατί οι έλεγχοι ZK είναι η κύρια προτεραιότητά σας;
Το ZK είναι ιδιαίτερα ενδιαφέρον από την άποψη της επίσημης επαλήθευσης επειδή μεταφράζεται πολύ καλά στη χρήση εργαλείων. Διαθέτουμε εργαλεία που στοχεύουν ιδιαίτερα στον έλεγχο των εφαρμογών ZK. Επειδή είναι τόσο κατάλληλο για τις μεθόδους μας, αυτός είναι ο τομέας στον οποίο έχουμε επικεντρωθεί πολύ.
Εντοπίσαμε κρίσιμα τρωτά σημεία σε βιβλιοθήκες βασικών κυκλωμάτων. Η ομάδα μας είναι πολύ δυνατή σε αυτόν τον τομέα, οπότε αποφασίσαμε να είμαστε πολύ παρόντες και στα σύνορα Έλεγχος ZK. Το μεγαλύτερο μέρος της έρευνάς μας υποκινείται επίσης από ανάγκες και απαιτήσεις από την οπτική γωνία ενός ελεγκτή στον τομέα ZK.
Πώς διαφοροποιείται η εμπειρία σας στα κυκλώματα ZK από άλλες εταιρείες;
Θα έλεγα ότι τα εργαλεία μας είναι αυτά που μας διαφοροποιούν πολύ επειδή προερχόμαστε από ένα επίσημο υπόβαθρο επαλήθευσης. Διαθέτουμε πολύ ισχυρά εργαλεία και μέχρι τώρα, η έκταση των έργων έχει γίνει τόσο μεγάλη που η ανθρώπινη προσπάθεια από μόνη της δεν είναι πραγματικά επαρκής για την καλή κάλυψη της βάσης κωδικών. Είναι απαραίτητο, αλλά από μόνο του δεν αρκεί.
Πώς το Veridise ισορροπεί τον μη αυτόματο έλεγχο κώδικα με την αυτοματοποιημένη ανάλυση εργαλείων στη διαδικασία ελέγχου του;
Υπάρχει ανάγκη και για τα δύο. Το παρατηρούμε και στους ελέγχους. Τις περισσότερες φορές, όταν κάνουμε πολύ αυστηρό ανθρώπινο λογιστικό έλεγχο και στη συνέχεια εκτελούμε τα εργαλεία στη βάση κώδικα, βρίσκουμε κάποια τρωτά σημεία που έχουν διαφύγει της προσοχής μας. Μερικές φορές, εκτελούμε πρώτα τα εργαλεία, αλλά τα εργαλεία μπορούν να ανιχνεύσουν μόνο ορισμένα είδη δομών.
Δεδομένου ότι υπάρχουν τόσα πολλά επίπεδα περιπλοκής και αφαίρεσης σε αυτά τα συστήματα, δεν αρκεί και μόνο να βασίζεσαι στα εργαλεία. Νιώθω ότι δεν μπορείς χωρίς κανένα από τα δύο και δεν νομίζω ότι αυτό θα αλλάξει στο μέλλον.
Ποια είναι τα βασικά χαρακτηριστικά του εργαλείου Vanguard της Veridise και πώς βελτιώνει την ασφάλεια των έξυπνων συμβολαίων;
Το Vanguard είναι ένα από τα κύρια εργαλεία μας. Χρησιμοποιείται για στατική ανάλυση. Στη στατική ανάλυση, παρέχετε μια συγκεκριμένη προδιαγραφή της επιδιωκόμενης συμπεριφοράς και, στη συνέχεια, ελέγχετε εάν ικανοποιείται - εάν ορισμένες ιδιότητες ισχύουν χωρίς να εκτελείται ο κώδικας. Δεν είναι δυναμικό. δεν εκτελείτε τον κώδικα, αλλά προσπαθείτε στατικά να αξιολογήσετε εάν υπάρχουν ορισμένα μοτίβα που θα μπορούσαν να προκαλέσουν τρωτά σημεία.
Το Vanguard έρχεται σε πολλές γεύσεις. Έχουμε μέρη του που είναι αρκετά καλά για βελτιωμένη ασφάλεια έξυπνων συμβολαίων, καθώς και μέρη που επικεντρώνονται σε εφαρμογές zk.
Μπορείτε να αναλύσετε περισσότερα σχετικά με τις ευπάθειες που έχετε συναντήσει σε έξυπνα συμβόλαια και κυκλώματα ZK;
Στα κυκλώματα ZK, στα οποία εργάζομαι περισσότερο, ένα από τα πιο κοινά τρωτά σημεία θα ήταν τα κυκλώματα υπό περιορισμούς. Σε μια εφαρμογή ZK, η βάση κωδίκων σας αποτελείται από δύο μέρη: το ίδιο το πρόγραμμα (την κανονική εκτέλεση) και τους περιορισμούς. Απαιτείτε οι περιορισμοί να αντικατοπτρίζουν τη συμπεριφορά της εκτέλεσης του προγράμματος με έναν προς έναν τρόπο.
Σύμφωνα με ένα πρόσφατο έγγραφο, περίπου το 95% όλων των τρωτών σημείων στα κυκλώματα ZK προκαλούνται από υποπεριορισμένα κυκλώματα. Έχουμε εργαλεία, όπως το PICUS, το οποίο στοχεύει ιδιαίτερα στην ανίχνευση αυτών των κυκλωμάτων που δεν είναι περιορισμένα.
Πώς προσεγγίζει η Veridise τη διαδικασία αποκάλυψης για τρωτά σημεία που ανακαλύφθηκαν κατά τους ελέγχους;
Φυσικά, δεν δημοσιοποιούμε τα τρωτά σημεία σε κανένα σημείο, επειδή κάποιος άλλος μπορεί να εκμεταλλευτεί το σφάλμα προτού επιδιορθωθεί, ειδικά εάν η βάση κώδικα χρησιμοποιείται ήδη. Στο τέλος της διαδικασίας ελέγχου, παραδίδουμε μια αναφορά ελέγχου όπου δίνουμε στον πελάτη μια λίστα με όλα τα σφάλματα και τα τρωτά σημεία που έχουμε ανακαλύψει.
Δίνουμε στον πελάτη λίγο χρόνο για να τα διορθώσει και, στη συνέχεια, μας στέλνει τις επιδιορθώσεις του, τις οποίες εξετάζουμε για να ελέγξουμε αν όντως αντιμετωπίζουν όλα τα ζητήματα που θέσαμε. Τα συγκεντρώσαμε όλα σε μια τελική έκθεση. Η αναφορά είναι ιδιοκτησία του πελάτη. Δεν το δημοσιοποιούμε εκτός εάν συμφωνήσει ο πελάτης.
Εάν μεταβείτε στην ιστοσελίδα Veridise, μπορείτε να δείτε μια λίστα με όλες τις εκθέσεις ελέγχου που οι πελάτες συμφώνησαν να δημοσιοποιήσουν. Στις περισσότερες περιπτώσεις, είναι εντάξει με το να το δημοσιοποιήσουμε. Στην πραγματικότητα, το θέλουν ως πιστοποιητικό ότι ο κώδικας ελέγχθηκε και είναι όσο πιο απαλλαγμένος από σφάλματα μετά από έλεγχο.
Πώς προσαρμόζει η Veridise τις διαδικασίες ελέγχου για διαφορετικές πλατφόρμες και γλώσσες blockchain;
Όπως γνωρίζετε, το πεδίο είναι πολύ ζωντανό και κάθε μέρα υπάρχουν νέες αλυσίδες, νέες γλώσσες και νέοι τρόποι έκφρασης των κυκλωμάτων ZK. Το βλέπουμε επίσης με τα εισερχόμενα έργα και τα αιτήματα για ελέγχους που βασίζονται σε διαφορετικά περιβάλλοντα ή γλώσσες. Πηγαίνουμε με τη ροή, βλέπουμε από πού προέρχονται τα αιτήματα και έχουμε μια αίσθηση ποια κατεύθυνση θα εξελιχθεί το πεδίο στο εγγύς μέλλον.
Προσπαθούμε να προσαρμόσουμε τα εργαλεία μας για να αντιμετωπίσουμε τις ανάγκες της κοινότητας. Αυτό θα συνεχιστεί και στο μέλλον, όπου θα αλλάξουμε τα πράγματα δυναμικά ανάλογα με το πώς εξελίσσεται το πεδίο.
Μπορείτε να αναλύσετε περισσότερα σχετικά με τα εργαλεία που σκοπεύετε να εφαρμόσετε στο μέλλον;
Μια κατεύθυνση προς την οποία θα αλλάξουν τα εργαλεία στο εγγύς μέλλον είναι ότι θα προσφέρουμε ασφάλεια ως υπηρεσία. Ονομάζεται πλατφόρμα SaaS μας, όπου θα διαθέσουμε τα εργαλεία για χρήση κατά τη διαδικασία ανάπτυξης.
Αντί να ολοκληρώσουμε πρώτα ολόκληρο το έργο και μετά να κάνουμε έναν έλεγχο, θα κάνουμε τα εργαλεία μας χρήσιμα σε μια ρύθμιση όπου οι προγραμματιστές θα μπορούν να τα χρησιμοποιούν κατά την ανάπτυξη για να διασφαλίσουν ότι ο κώδικας που αναπτύσσουν είναι ασφαλής και δεν περιέχει ευπάθειες. Το SaaS θα είναι διαθέσιμο στο εγγύς μέλλον.
Αποποίηση Eυθυνών
Σύμφωνα με το Οδηγίες του έργου Trust, σημειώστε ότι οι πληροφορίες που παρέχονται σε αυτήν τη σελίδα δεν προορίζονται και δεν πρέπει να ερμηνεύονται ως νομικές, φορολογικές, επενδυτικές, χρηματοοικονομικές ή οποιαδήποτε άλλη μορφή συμβουλής. Είναι σημαντικό να επενδύσετε μόνο ό,τι έχετε την πολυτέλεια να χάσετε και να αναζητήσετε ανεξάρτητες οικονομικές συμβουλές εάν έχετε οποιεσδήποτε αμφιβολίες. Για περισσότερες πληροφορίες, προτείνουμε να ανατρέξετε στους όρους και τις προϋποθέσεις, καθώς και στις σελίδες βοήθειας και υποστήριξης που παρέχονται από τον εκδότη ή τον διαφημιστή. MetaversePost δεσμεύεται για ακριβείς, αμερόληπτες αναφορές, αλλά οι συνθήκες της αγοράς υπόκεινται σε αλλαγές χωρίς προειδοποίηση.
Σχετικά με το Συγγραφέας
Η Victoria είναι συγγραφέας σε διάφορα θέματα τεχνολογίας, όπως Web3.0, τεχνητή νοημοσύνη και κρυπτονομίσματα. Η εκτεταμένη εμπειρία της της επιτρέπει να γράφει διορατικά άρθρα για το ευρύτερο κοινό.
Περισσότερα άρθρα
Η Victoria είναι συγγραφέας σε διάφορα θέματα τεχνολογίας, όπως Web3.0, τεχνητή νοημοσύνη και κρυπτονομίσματα. Η εκτεταμένη εμπειρία της της επιτρέπει να γράφει διορατικά άρθρα για το ευρύτερο κοινό.
