Analyse de l'utilisation des signatures numériques: 10 des 15 principales crypto-monnaies ne signent pas de logiciel

En lisant les dernières nouvelles sur le remplacement réussi par les attaquants du code d'un grand projet, la question se pose naturellement: comment est-ce encore possible si le code a été signé!? Ignorer les règles de sécurité dans la cryptosphère est un oxymore et, en même temps, un fait, donc, pour que cet article ne se transforme pas en porteur d'un homme menteur, j'ai sélectionné pour l'analyse non pas les débutants, mais les crypto-monnaies en haut de la cote CoinMarketCap. Et, vous l'avez deviné, pas en vain.

Voyons comment les choses se passent avec l'utilisation des signatures numériques dans le bastion de la révolution fintech.

La motivation

Comme vous le savez probablement, les hacks de sites officiels et les profils github de projets de cryptographie se produisent assez souvent à travers lesquels le code malveillant se propage. Parfois, les adresses de portefeuille sont remplacées, dans d'autres cas, le logiciel distribué est remplacé. Les méthodes de piratage diffèrent: il y a une attaque sur l'un des nœuds de réseau responsables de la livraison des données et une substitution cachée d'un fragment de données est effectuée. Détecter une usurpation est visuellement assez difficile, ce que les cybercriminels utilisent. Il existe plusieurs façons de se défendre contre une telle attaque. La signature PGP est considérée comme standard: publication des sommes de vérification signées. Ce faisant, la clé PGP doit être correctement distribuée. Par exemple, publié sur diverses ressources (de préférence plus de deux).

Analyse

Pour l'analyse, j'ai utilisé des ressources officielles, des liens vers lesquels j'ai reçu de diverses sources. Puis il a commencé à collecter des informations provenant de différentes directions. L'analyse a pris en compte la publication du logiciel utilisateur et du SDK. Pour l'analyse, des jetons ou des projets basés sur des contrats intelligents n'ont pas été pris, seules les crypto-monnaies.

Résultats

(*) Ethereum Classic utilise un logiciel tiers et ne publie pas d'informations pour confirmer la publication.

Erreurs courantes

1. Absence de signature en tant que telle ( 10/15 ):
   Il peut s'avérer non signé en tant que code exécutable, mais les bibliothèques non signées et les logiciels d'application tels que les portefeuilles sont plus courants.
2. Signature par clés non publiées ( 2/15 ):
   Le code est signé par plusieurs développeurs dont les clés ne sont publiées nulle part, et de telles signatures sont donc inutiles.
3. Publication des clés et du code dans une seule source ( 5/15 ).
   Une erreur très courante est la publication de clés via un lien sur une ressource tierce, ou la création d'une seule source de confiance sous la forme d'un site. Ainsi, pour remplacer des données, il suffit de pirater uniquement le site.

Erreurs atypiques

Monero propose de regarder les clés du dossier contenant les données signées. Il s'agit essentiellement d'une erreur de distribution clé, qui entraîne une perte totale de fiabilité.

Remarque!

• Litecoin publie des clés, y compris sous forme de lien vers la ressource de confiance pgp.mit.edu.
• Ethereum et Zcash publient des listes de clés détaillées:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• Ethereum publie les clés de service CI.

Raisons

1. Absence de stratégie unifiée . Aujourd'hui, aucune instruction ne conviendrait à la plupart des développeurs pour résoudre les problèmes de garantie de livraison de code sur différentes plates-formes. Une grande proportion de performances amateurs.
2. Obsolescence . Si vous regardez les principaux sites de la technologie PGP, vous avez l'impression que la technologie est dans l'oubli:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. Manque d'outils complets pour publier et vérifier les signatures . Même s'il y a un désir, l'utilisateur rencontrera de sérieux obstacles sur le chemin - de nombreux utilisateurs ne savent pas comment et ne sont pas prêts à utiliser la console obligatoire pour vérifier la signature. Même pour les développeurs, l'utilisation d'une signature n'est pas une tâche triviale.
4. Protocole d'échange de clés obsolète . Au 21e siècle, lorsque les développeurs ne se rencontrent presque jamais en personne, organiser un échange de clés sur une base p2p devient peu pratique et des outils sont nécessaires pour accélérer la distribution et la révocation des signatures.

Astuces

Les meilleurs conseils dans cette situation:

1. Séparez les clés par tâche (cela aidera à éviter les fuites d'une clé principale ou l'utilisation d'une clé de développeur pour signer une version).
2. Dupliquer des informations dans plusieurs sources, par exemple sur le site officiel et sur Github (pirater deux ressources en même temps est plus difficile qu'une).
3. Générez une URL lisible par l'homme (elles sont plus faciles à mémoriser et à vérifier).

Manuel d'instructions

Si vous n'utilisez pas encore de clés PGP, je vous recommande fortement d'inclure la vérification de signature dans le flux de travail, même si vous ne développez pas de projets financiers, il est préférable d'amener cette compétence à l'automatisme avant d'en avoir besoin. Il suffit de la force d'une heure pour commencer, mais le plaisir reçu alors ne peut pas être mesuré.

Conclusion

Aujourd'hui, l'infrastructure de livraison de code souffre de maladies infantiles: fragmentation, manque de pratiques bien établies, logiciels qui ne répondent pas aux réalités, et les développeurs de projets même volumineux sous la surveillance de milliers d'yeux parviennent à commettre des erreurs encore plus simples en matière de sécurité. Alors faites confiance, mais vérifiez% username%!