欢迎访问本站!

首页科技正文

电银付免费激活码(dianyinzhifu.com):首发 | 加密钱包平安审计清单:你的钱包是否平安?

admin2021-01-0362

近一个月,比特币币值从1.8万美元到2万美元,涨势如虹。币圈传出新闻:圣诞节前,比特币必将大涨一波。

昨日晚间, *** C就十分争气的冲上了23000的高位。

电银付免费激活码(dianyinzhifu.com):首发 | 加密钱包平安审计清单:你的钱包是否平安? 第1张

在比特币涨势率领下,币圈陷入疯狂,加密数字行情炙手可热,以太坊、瑞波币、莱特币等加密钱币同样涨势喜人。

从昨日晚间到今日,币圈上演了一幕幕大型“真香”现场,市场的狂热投资者陆续进场“格斗”。

相比于2017年的比特币狂欢,这次的涨势看起来可能加倍的稳固。

2020年对于所有人来说都是特殊的一年,疫情发作,币圈动荡。 *** 化金融DeFi的泛起和生长热潮使得区块链更先再次受到人们的关注。

随着新区块链项目的推出,跨越两千种的加密资产,越来越多的加密钱包进入市场,越来越多的用户也更先涌入这个领域。

当加密领域拥有的资产越来越重大,来自于平安隐患方面的危急也显露无遗。

比特币大涨,你的钱包是否还平安?

近年来,数字钱包平安事宜频发。

去年11月19日,Ars Technica报道称两个加密钱币钱包数据遭泄露,220万账户信息被盗。平安研究员Troy Hunt证实,被盗数据来自加密钱币钱包GateHub和RuneScape机器人提供商EpicBot的账户。

这已经不是Gatehub第一次遭遇数据泄露了。据报道,去年6月,黑客入侵了约莫100 个XRP Ledger钱包,导致近1000万美元的资金被盗。

2019年3月29日,Bithumb失贼事宜闹得沸沸扬扬。据预测,这次事宜起由于Bithumb拥有的g4ydomrxhege帐户的私钥被黑客偷取。

随即,黑客将窃取的资金涣散到各个交易所,包罗火币,Hit *** C,WB和EXmo。凭据非官方数据和用户估量,Bithumb遭受的损失高达300万个EOS币(约1300万美元)和2000万个XRP币(约600万美元)以上。

由于数字钱币的匿名性及 *** 化,导致被盗资产在一定水平上难以追回。因此,钱包的平安性至关主要。

电银付免费激活码(dianyinzhifu.com):首发 | 加密钱包平安审计清单:你的钱包是否平安? 第2张

2020年8月9日,CertiK的平安工程师在DEF CON区块链平安大会上揭晓了演讲主题为:Exploit Insecure Crypto Wallet(加密钱包破绽行使与剖析)的主题讲述,分享了对于加密钱包平安的看法。

加密钱包是一种辅助用户治理帐户和简化交易过程的应用程序。

有些区块链项目公布加密钱包应用程序来支持本链的生长——好比用于CertiK Chain的Deepwallet。

此外,另有像Shapeshift这样的公司,其构建了支持差别区块链协议的钱包。

从平安的角度来看,加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。

近一年来,CertiK手艺团队对多个加密钱包举行了测试和研究,并在此分享针对基于软件差别类型的加密钱包举行平安评估的方式及流程。

加密钱包基础审计清单

要对一个应用程序举行评估,首先需要领会其事情原理→代码实现是否遵照更佳平安尺度→若何对平安性不足的部门举行修正及提高。

CertiK手艺团队针对加密钱包制作了一个基础审计清单,这份清单反映了所有形式的加密钱包应用(手机、web、扩展、桌面),尤其是手机和web钱包是若何生产和储存用户私钥的。

手机钱包

相比于笔记本电脑,手机等移动装备更容易丢失或被盗。

在剖析针对移动装备的威胁时,必须思量攻击者可以直接接见用户装备的情形。

在评估过程中,若是攻击者获得接见用户装备的权限,或者用户装备熏染恶意软件,我们需要想法识别导致账户和密码资产受损的潜在问题。

除了基础清单以外,以下是在评估手机钱包时要增添检查的审计类目:

  • 应用程序是否在后台截图中泄露敏感信息?

  • 应用程序是否检测装备是否越狱/root?

  • 应用程序是否锁定后台服务器的证书?

  • 应用程序是否在程序的log中记录了敏感信息?

  • 应用程序是否包罗设置错误的deeplink和intent,它们可被行使吗? 

  • 应用程序包是否混淆代码?

  • 应用程序是否实现了反调试功效?

  • 应用程序是否检查应用程序重新打包?

  • (iOS)储存在iOS Keychain中的数据是否具有足够平安的属性?

  • 应用程序是否受到密钥链数据持久性的影响?

  • 当用户输入敏感信息时,应用程序是否禁用自定义键盘?

  • 应用程序是否平安使用“webview”来加载外部网站?

Web钱包

对于一个完全 *** 化的钱包来说,Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥接见钱包,MyEtherWallet也同样建议用户不要这样做。

与在其他三种平台上运行的钱包相比,以web应用程序的形式对钱包举行钓鱼攻击相对来说更容易;若是攻击者入侵了web服务器,他可以通过向web页面注入恶意的JavaScript,轻松窃取用户的钱包信息。

然而,一个平安构建并经由彻底测试的web钱包依旧是用户治理其加密资产的不二之选。

除了上面通例的基础审计类目之外,我们在评估客户端web钱包时,还列出了以下需要审计的类目列表:

  • 应用程序存在跨站点剧本XSS破绽吗?

  • 应用程序存在点击挟制破绽吗?

  • 应用程序有没有有用的Content Security Policy?

  • 应用程序存在开放式重定向破绽吗?

  • 应用程序存在HTML注入破绽吗?

  • 现在网页钱包使用cookie的情形很少见,但若是有的话,应检查:

     Cookie属性

    跨站请求伪造(CSRF)

    ,

    联博统计接口

    www.326681.com采用以太坊区块链高度哈希值作为统计数据,联博以太坊统计数据开源、公平、无任何作弊可能性。联博统计免费提供API接口,支持多语言接入。

    ,

    跨域资源共享(CORS)设置错误

  • 该应用程序是否包罗除基本钱包功效之外的其他功效? 这些功效存在可被行使的破绽吗?

  • OWASP Top 10中未在上文提到的破绽。

Metamask是最著名和最常用的加密钱包之一,它以浏览器扩展的形式泛起。

扩展钱包在内部的事情方式与web应用程序异常相似。

差别之处在于它包罗被称为content script和background script的怪异组件。  

网站通过content script和background script通报事宜或新闻来与扩展页面举行交流。

在扩展钱包评估时代,最主要的事情之一就是测试一个恶意网站是否可以在未经用户赞成的情形下读取或写入属于扩展钱包的数据。

除了基础清单以外,以下是在评估扩展钱包时要增添检查的审计类目:

  • 扩展要求了哪些权限?

  • 扩展应用若何决议哪个网站允许与扩展钱包举行交流?

  • 扩展钱包若何与web页面交互?

  • 恶意网站是否可以通过扩展中的破绽来攻击扩展自己或浏览器中其他的页面?

  • 恶意网站是否可以在未经用户赞成的情形下读取或修改属于扩展的数据?

  • 扩展钱包存在点击挟制破绽吗?

  • 扩展钱包(通常是background script)在处置新闻之前是否已检查新闻来源?

  • 应用程序是否实现了有用的内容平安策略?

Electron桌面钱包

在编写了web应用程序的代码之后,为什么不用这些代码来制作一个Electron中桌面应用程序呢?

在以往测试过的桌面钱包中,约莫80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时,不仅要寻找web应用程序中可能存在的破绽,还要检查Electron设置是否平安。

CertiK曾针对Electron的桌面应用程序破绽举行了剖析,你可以点击接见此文章领会详情。

以下是基于Electron的桌面钱包受评估时要增添检查的审计类目:

  • 应用程序使用什么版本的Electron?

  • 应用程序是否加载远程内容?

  • 应用程序是否禁用“nodeIntegration”和“enableRemoteModule”?

  • 应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项?

  • 应用程序是否允许用户在统一窗口中从当前钱包页面跳转到随便的外部页面?

  • 应用程序是否实现了有用的内容平安策略?

  • preload script是否包罗可能被滥用的代码?

  • 应用程序是否将用户输入直接通报到危险函数中(如“openExternal”)?

  • 应用程序会使不平安的自定义协议吗?

服务器端破绽检查列表

在我们测试过的加密钱包应用程序中,有一半以上是没有中央化服务器的,他们直接与区块链节点相连。

CertiK手艺团队以为这是削减攻击面和珍爱用户隐私的方式。

然则,若是应用程序希望为客户提供除了帐户治理和令牌传输之外的更多功效,那么该应用程序可能需要一个带有数据库和服务器端代码的中央化服务器。

服务器端组件要测试的项目高度依赖于应用程序特征。

凭据在研究以及与客户接触中发现的服务器端破绽,我们编写了下文的破绽检查表。固然,它并不包罗所有可能发生的服务器端破绽。

  • 认证和授权

  • KYC及其有用性

  • 竞赛条件

  • 云端服务器设置错误

  • Web服务器设置错误

  • 不平安的直接工具引用(IDOR)

  • 服务端请求伪造(SSRF)

  • 不平安的文件上传

  • 任何类型的注入(SQL,下令,template)破绽

  • 随便文件读/写

  • 营业逻辑错误

  • 速率限制

  • 拒绝服务

  • 信息泄露

总结

随着手艺的生长,黑客们实行的敲诈和攻击手段也越来越多样化。

CertiK平安手艺团队希望通过对加密钱包平安隐患的分享让用户更清晰的熟悉和领会数字钱币钱包的平安性问题、提高小心。

现阶段,许多开发团队对于平安的问题重视水平远远低于对于营业的重视水平,对自身的钱包产物并未做到足够的平安防护。通过分享加密钱包的平安审计类目,CertiK期望加密钱包项目方对于产物的平安尺度拥有清晰的认知,从而促进产物平安升级,配合珍爱用户资产的平安性。

数字钱币攻击是多手艺维度的综合攻击,需要思量到在数字钱币治理流通过程中所有涉及到的应用平安,包罗电脑硬件、区块链软件,钱包等区块链服务软件,智能合约等。

网友评论