A kód feltörése DeFi Sebezhető pontok: Alp Bassa mélyrepülése az intelligens szerződésbiztonságba
Röviden
Alp Bassa, a Veridise kutatója az innovatív eszközökről, a tudás nélküli auditokról és a blokklánc-biztonság jövőjéről tárgyal.
Ebben az exkluzív interjúban, amely a Hack Seasons konferencia során készült, Alp Bassa, kutató tudós at Veridise, betekintést ad a Veridise innovatív eszközeibe, a zéró tudást nem igénylő auditok bonyolultságába és a blokklánc biztonság jövőjébe. A beszélgetés során a matematika, a kriptográfia és a blokklánc technológia metszéspontját tárjuk fel az iparág egyik vezető szakértőjének szemével.
Sok vállalkozót egy adott pillanat vagy esemény vonz a szakterületéhez. Mi volt az utad Web3?
Tudományos háttérből származom. Matematikus vagyok, aki a számelméleti kutatásokkal foglalkozott, és a véges mezők feletti görbékre, elliptikus görbékre, valamint ezeknek a kódoláselméletben és kriptográfiában való alkalmazásaira összpontosítottam. Ezeket az eszközöket erősen használják, különösen manapság, amikor a nulla tudásalapú kriptográfia nagyobb befolyást gyakorol a Web3 hely.
Láttam, hogy sok érdekes dolog történik ott. Aztán elkezdtem dolgozni a Veridise-nél, ahol biztonsági auditokat végeznek, és különösen a ZK területre szakosodtak, ahol a szaktudásom nagyon jól illeszkedik.
Miért van szükségünk biztonsági auditokra? A fejlesztők működhetnek nélkülük, vagy kötelezőek?
A rendszerek biztonsága más gondolkodásmódot igényel, amelyet már a fejlesztési szakaszban át kell venni. Nem minden fejlesztő tud egyszerre a fejlesztési folyamat minden aspektusára összpontosítani – biztosítva a megfelelő specifikációkat, viselkedést, hatékonyságot, integrálást egy nagyobb rendszerbe és biztonságot. A biztonság legtöbbször olyan szempont, amelyre a fejlesztési folyamat során nem térnek ki megfelelően.
Szinte lehetetlenné vált, hogy egy fejlesztő elég magabiztos legyen a különféle összetett eszközökkel, hogy garantálja a helyes használatot és a sebezhetőség hiányát. Csak egy másik gondolkodásmódot kell alkalmazni. Ezért hasznosak az auditok.
Tudja részletesebben a Veridise által kifejlesztett házon belüli eszközöket, és azt, hogy ezek hogyan javítják az ellenőrzés minőségét?
A használható eszközök széles skálája létezik. Egyesek primitívebbek, de nem igényelnek túl sok hátteret, és könnyen hozzáférhetők, például a fuzzerek. Némelyik a közepén található, például a statikus elemző eszközök. Elég gyorsak, de nem túl pontosak – téves pozitív eredményeket adhatnak.
Aztán vannak olyan eszközök, amelyeket erősen matematikai támogatnak, az SMT-megoldókon és más matematikai háttéren. Ezek nagyon pontosak, de számításilag nehézek. Mindezen eszközök kombinációját használjuk, mindegyiknek előnyeivel és hátrányaival, hogy elkapjuk a hibákat és a sebezhetőséget.
Melyek azok az egyedi biztonsági megfontolások, amelyekkel a Veridise foglalkozik? DeFi protokollok?
A DeFi protokollok, van egy statikus elemző eszközünk, ahol előre megmondja a rendszernek, hogy milyen sérülékenységeket keressen, vagy milyen struktúrákat célozzon meg. Sok ilyen van. Például a visszatérési támadások felelősek a DAO 2016-os feltöréséért. A gyorskölcsönzési támadásokat a Cream Finance elleni támadás során használták ki, amelynek következtében körülbelül 130 millió dollárt loptak el.
Az auditálás során szerzett tapasztalataink révén jó áttekintést kapunk a sebezhetőségekről, és eszközeink mindezek ellenőrzésére készültek. Ellenőrzéseink során ezeket egyenként részletesen megvizsgáljuk, hogy megjelennek-e ilyen kockázatok.
Kérjük, fejtse ki részletesebben, hogyan használja a ZK technológiát, és miért a ZK auditok a fő prioritása?
A ZK különösen érdekes formális ellenőrzési szempontból, mert nagyon jól átültethető az eszközök használatába. Olyan eszközeink vannak, amelyek különösen a ZK alkalmazások ellenőrzésére szolgálnak. Mivel nagyon alkalmas a mi módszereinkre, ez az a terület, amelyre sokat koncentráltunk.
Kritikus sérülékenységeket azonosítottunk a központi áramköri könyvtárakban. Csapatunk nagyon erős ezen a téren, ezért úgy döntöttünk, hogy nagyon jelen leszünk, és az élvonalban leszünk ZK könyvvizsgálat. Kutatásaink többségét a ZK területtel kapcsolatos könyvvizsgálói szükségletek és követelmények is motiválják.
Miben különbözik az Ön ZK áramköri szakértelme más cégektől?
Azt mondanám, hogy az eszközeink sokban különböztetnek meg bennünket, mert formális igazolási háttérből származunk. Nagyon erős eszközeink vannak, és mára a projektek kiterjedése olyan nagyra nőtt, hogy az emberi erőfeszítés önmagában nem igazán elegendő a kódbázis megfelelő lefedettségéhez. Szükséges, de önmagában nem elég.
Hogyan vizsgálja meg a Veridise egyenleg kézi kódját automatizált eszközelemzéssel az auditálási folyamata során?
Mindkettőre szükség van. Az ellenőrzések során is észrevesszük. Legtöbbször, amikor nagyon szigorú emberi auditálást végzünk, majd utána futtatjuk az eszközöket a kódbázison, találunk néhány sebezhetőséget, amelyek elkerülték a figyelmünket. Néha először az eszközöket futtatjuk, de az eszközök csak bizonyos típusú struktúrákat képesek észlelni.
Mivel ezekben a rendszerekben a bonyolultság és az absztrakció nagyon sok rétege van, az eszközökre való támaszkodás sem elég. Úgy érzem, egyiket sem nélkülözheti, és nem hiszem, hogy ez változni fog a jövőben.
Melyek a Veridise Vanguard eszközének legfontosabb jellemzői, és hogyan javítja az intelligens szerződések biztonságát?
A Vanguard az egyik fő eszközünk. Statikus elemzéshez használják. A statikus elemzés során megadja a kívánt viselkedés bizonyos specifikációit, majd ellenőrizze, hogy ez teljesül-e – bizonyos tulajdonságok érvényesek-e a kód futtatása nélkül. Nem dinamikus; nem hajtja végre a kódot, hanem statikusan megpróbálja felmérni, hogy vannak-e bizonyos minták, amelyek sebezhetőséget okozhatnak.
A Vanguard számos ízben kapható. Vannak olyan részeink, amelyek egészen jók az intelligens szerződések biztonságának javításához, és vannak olyan részeink, amelyek a zk-alkalmazásokra összpontosítanak.
Tudna bővebben kifejteni az intelligens szerződésekben és a ZK-áramkörökben tapasztalt sebezhetőségeket?
A ZK áramkörökben, amelyeken többet dolgozom, az egyik leggyakrabban előforduló sebezhetőség az alulkorlátozott áramkörök. Egy ZK-alkalmazásban a kódbázis két részből áll: magából a programból (a normál végrehajtás) és a megszorításokból. Megköveteli, hogy a megszorítások egytől egyig tükrözzék a programvégrehajtás viselkedését.
A találmány egy friss papír, a ZK áramkörök összes sérülékenységének körülbelül 95%-át az alulkorlátozott áramkörök okozzák. Vannak olyan eszközeink, mint például a PICUS, amely különösen az alulkorlátozott áramkörök észlelésére szolgál.
Hogyan közelíti meg a Veridise az auditok során feltárt sebezhetőségek közzétételi folyamatát?
Természetesen soha nem hozzuk nyilvánosságra a sebezhetőségeket, mert valaki más kihasználhatja a hibát, mielőtt kijavítaná, különösen, ha a kódbázis már használatban van. Az auditálási folyamat végén auditjelentést készítünk, amelyben az ügyfélnek listát adunk az összes általunk felfedezett programhibáról és sebezhetőségről.
Adunk egy kis időt az ügyfélnek a javításra, majd elküldik nekünk a javításaikat, amelyeket felülvizsgálunk, hogy ellenőrizzük, valóban megoldják-e az általunk felvetett problémákat. Mindezt egy zárójelentésben foglaltuk össze. A jelentés az ügyfél tulajdona. Csak akkor hozzuk nyilvánosságra, ha az ügyfél beleegyezik.
Ha felkeresi a Veridise weboldalt, megtekintheti azon auditjelentések listáját, amelyeket az ügyfelek beleegyeztek, hogy nyilvánosságra hozzák. A legtöbb esetben megengedik, hogy nyilvánosságra hozzuk. Valójában azt akarják tanúsítványként, hogy a kód auditálva volt, és olyan hibamentes, amennyire csak lehet egy audit után.
Hogyan igazítja a Veridise auditálási folyamatait a különböző blokklánc-platformokhoz és nyelvekhez?
Mint tudják, a terület nagyon élénk, és minden nap új láncok, új nyelvek és új módok jelennek meg a ZK áramkörök kifejezésére. Ezt látjuk a beérkező projekteknél és az ellenőrzési kéréseknél is, amelyek különböző környezeteken vagy nyelveken alapulnak. Együtt megyünk az áramlással, megnézzük, honnan jönnek a kérések, és érezzük, hogy a közeljövőben milyen irányba fejlődik a terület.
Igyekszünk eszközeinket a közösség igényeihez igazítani. Ez a jövőben is folytatódik, ahol dinamikusan változtatjuk a dolgokat a szakterület alakulásának megfelelően.
Tudna bővebben kifejteni a jövőben bevezetni tervezett eszközöket?
Az egyik irány, amelyben az eszközök a közeljövőben változni fognak, az, hogy a biztonságot mint szolgáltatást kínáljuk. SaaS-platformunknak hívják, ahol az eszközöket elérhetővé tesszük az emberek számára a fejlesztési folyamat során.
Ahelyett, hogy először befejeznénk a teljes projektet, majd elvégeznénk az auditot, eszközeinket olyan beállításban tesszük hasznossá, ahol a fejlesztők használhatják őket fejlesztés közben, hogy biztosítsák, hogy az általuk fejlesztendő kód biztonságos és ne tartalmazzon sebezhetőséget. A SaaS a közeljövőben elérhető lesz.
A felelősség megtagadása
Összhangban a A Trust Project irányelvei, kérjük, vegye figyelembe, hogy az ezen az oldalon közölt információk nem minősülnek jogi, adózási, befektetési, pénzügyi vagy bármilyen más formájú tanácsnak, és nem is értelmezhetők. Fontos, hogy csak annyit fektessen be, amennyit megengedhet magának, hogy elveszítsen, és kérjen független pénzügyi tanácsot, ha kétségei vannak. További információkért javasoljuk, hogy tekintse meg a szerződési feltételeket, valamint a kibocsátó vagy hirdető által biztosított súgó- és támogatási oldalakat. MetaversePost elkötelezett a pontos, elfogulatlan jelentéstétel mellett, de a piaci feltételek előzetes értesítés nélkül változhatnak.
A szerzőről
Victoria számos technológiai témában író, többek között Web3.0, AI és kriptovaluták. Széleskörű tapasztalata lehetővé teszi számára, hogy szemléletes cikkeket írjon a szélesebb közönség számára.
További cikkek
Victoria számos technológiai témában író, többek között Web3.0, AI és kriptovaluták. Széleskörű tapasztalata lehetővé teszi számára, hogy szemléletes cikkeket írjon a szélesebb közönség számára.
