Análisis del uso de firmas digitales: 10 de las 15 principales criptomonedas no firman software

Al leer las últimas noticias sobre el reemplazo exitoso por parte de los atacantes del código de un gran proyecto, surge naturalmente la pregunta: ¿cómo es esto posible si el código fue firmado? Ignorar las reglas de seguridad en la criptosfera es un oxímoron y, al mismo tiempo, un hecho, por lo tanto, para que este artículo no se convierta en portador de un hombre mentiroso, seleccioné para el análisis no a los novatos, sino a las criptomonedas de la parte superior de la calificación CoinMarketCap. Y, lo has adivinado, no en vano.

Veamos cómo están las cosas con el uso de firmas digitales en la fortaleza de la revolución fintech.

Motivación

Como es muy probable que sepa, los hacks de sitios oficiales y los perfiles de github de proyectos de cifrado ocurren con bastante frecuencia a través de los cuales se propaga código malicioso. A veces se sustituyen las direcciones de billetera, en otros casos se reemplaza el software distribuido. Los métodos de pirateo difieren: hay un ataque en uno de los nodos de la red responsables de la entrega de datos y se realiza una sustitución oculta de un fragmento de datos. Detectar una parodia es visualmente bastante difícil, que es lo que usan los ciberdelincuentes. Hay varias formas de defenderse contra tal ataque. La firma PGP se considera estándar: publicación de sumas de verificación firmadas. Al hacerlo, la clave PGP se debe distribuir correctamente. Por ejemplo, publicado en varios recursos (preferiblemente más de dos).

Análisis

Para el análisis, utilicé recursos oficiales, enlaces a los que recibí de varias fuentes. Luego comenzó a recopilar información moviéndose desde diferentes direcciones. El análisis tuvo en cuenta la publicación tanto del software del usuario como del SDK. Para el análisis, no se tomaron tokens o proyectos basados ​​en contratos inteligentes, solo criptomonedas.

Resultados

(*) Ethereum Classic utiliza software de terceros y no publica información para confirmar el lanzamiento.

Errores comunes

1. Falta de firma como tal ( 15/10 ):
   Puede resultar sin firmar como código ejecutable, pero las bibliotecas sin firmar y el software de aplicación como billeteras son más comunes.
2. Firma por claves no publicadas ( 2/15 ):
   El código está firmado por varios desarrolladores cuyas claves no se publican en ningún lado y, en consecuencia, tales firmas son inútiles.
3. Publicación de claves y código en una fuente ( 15/5 ).
   Un error muy común es la publicación de claves a través de un enlace en un recurso de terceros, o la creación de una única fuente confiable en forma de sitio. Por lo tanto, para reemplazar los datos, es suficiente hackear solo el sitio.

Errores atípicos

Monero ofrece mirar las claves en la carpeta con los datos firmados. En esencia, este es un error de distribución clave, que conduce a una pérdida completa de confiabilidad.

Nota!

• Litecoin publica claves, incluso como un enlace al recurso de confianza pgp.mit.edu.
• Ethereum y Zcash publican listas clave detalladas:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• Ethereum publica las claves de servicio de CI.

Razones

1. Falta de una estrategia unificada . Hoy en día no hay instrucciones que convengan a la mayoría de los desarrolladores para resolver los problemas de garantizar la entrega de código garantizado en diferentes plataformas. Una gran proporción de actuaciones de aficionados.
2. Obsolescencia Si observa los sitios principales de la tecnología PGP, tiene la impresión de que la tecnología está en el olvido:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. Falta de herramientas integrales para publicar y verificar firmas . Incluso si hay un deseo, el usuario encontrará serios obstáculos en el camino: muchos usuarios no saben cómo y no están listos para usar la consola obligatoria para verificar la firma. Incluso para los desarrolladores, el uso de una firma no es una tarea trivial.
4. Protocolo de intercambio de claves obsoleto . En el siglo XXI, cuando los desarrolladores casi nunca se reúnen en persona, organizar un intercambio de claves sobre una base p2p no es muy conveniente y se necesitan herramientas para una distribución y revocación de firmas más rápidas.

Consejos

Los mejores consejos en esta situación:

1. Separe las claves por tarea (esto ayudará a evitar la fuga de una clave maestra o el uso de una clave de desarrollador para firmar un lanzamiento).
2. Duplicar información en varias fuentes, por ejemplo, en el sitio web oficial y en Github (piratear dos recursos al mismo tiempo es más difícil que uno).
3. Genere una URL legible para humanos (son más fáciles de recordar y verificar).

Manual de instrucciones

Si aún no está utilizando las claves PGP, le recomiendo que incluya la verificación de firma en el flujo de trabajo, incluso si no está desarrollando proyectos financieros, es mejor llevar esta habilidad al automatismo antes de que la necesite. Suficiente de la fuerza de una hora de tiempo es suficiente para comenzar, pero el placer recibido no puede medirse.

Conclusión

Hoy, la infraestructura de entrega de código sufre de enfermedades infantiles: fragmentación, falta de prácticas bien establecidas, software que no cumple con las realidades, y los desarrolladores de incluso grandes proyectos bajo el escrutinio de miles de ojos logran cometer errores incluso simples en lo que respecta a la seguridad. ¡Confíe, pero marque% username%!