क्रिप्टो एक्सचेंज और क्रिप्टो-वॉलेट की परीक्षण विधि

क्रिप्टो-वॉलेट और क्रिप्टो-एक्सचेंज हैकर के हमलों (या उपयोगकर्ताओं, डेवलपर्स की मूर्खता, साथ ही सिस्टम के तर्क के साथ समस्याओं) से पीड़ित हो सकते हैं। परीक्षण आवेदन के तर्क में कमजोरियों और समस्याओं की पहचान करने में मदद कर सकता है, हालांकि, मुझे अभी भी एक औपचारिक पद्धति नहीं मिली, जिसमें यह लिखा जाएगा कि परीक्षण के दौरान क्या ध्यान दिया जाना चाहिए। एक दर्जन एक्सचेंजों और पर्स का परीक्षण करने के बाद, मैंने उन्हें परीक्षण करने की प्रक्रिया को औपचारिक बनाने का फैसला किया, जो रुचि रखते हैं, बिल्ली का स्वागत है।

एक्सचेंज और वॉलेट का परीक्षण करते समय, मैंने उनके कामकाज पर ध्यान आकर्षित किया, और मैंने एक छोटी तकनीक के रूप में नीचे उनके परीक्षण के पहलुओं को तैयार किया, लेकिन क्रम में।
सबसे पहले, आपको यह समझने की आवश्यकता है कि ग्राहक के लिए क्या महत्वपूर्ण है? ग्राहक के लिए यह महत्वपूर्ण है कि एक्सचेंज या वॉलेट से पैसा और उपयोगकर्ताओं के व्यक्तिगत डेटा का संरक्षण चोरी न हो। और चूंकि, वास्तव में, प्रत्येक एक्सचेंज या वॉलेट, अधिकांश भाग के लिए, एक वेबसाइट या वेब एप्लिकेशन है, ग्राहक एक हैकर हमले का अनुकरण करना चाहता है, अर्थात। ब्लैक बॉक्स परीक्षण (तालिका 1 देखें), लेकिन परीक्षण की पूर्णता के लिए, ग्रे बॉक्स परीक्षण अधिक बार चुना जाता है (तालिका 1 देखें)।
काम के तर्क का परीक्षण करने के लिए, आपको एक परीक्षण क्रिप्टोक्यूरेंसी की आवश्यकता है। और चूँकि प्रत्येक एक्सचेंज के पास फंड जमा करने / निकालने पर अपने स्वयं के प्रतिबंध हैं, इसलिए टेस्ट क्रिप्टोकरेंसी की राशि कम से कम निकासी के लिए न्यूनतम स्वीकार्य होनी चाहिए और खरीद और बिक्री और / या इनपुट-आउटपुट के कम से कम 5 लेनदेन करने के लिए पर्याप्त होनी चाहिए।

तालिका 1. प्रदान की गई जानकारी के आधार पर परीक्षण के प्रकार।

टाइप	विवरण
ब्लैक बॉक्स	ग्राहक की तकनीकी टीम को शामिल किए बिना परीक्षण किया जाता है
ग्रे बॉक्स	ग्राहक की तकनीकी टीम के साथ संपर्क "सफेद सूची" में परीक्षण किए जा रहे खातों को जोड़ना ग्राहक परीक्षण के लिए धन (सिक्के) प्रदान करता है
सफेद बॉक्स	पूर्ण ग्राहक सहायता आवेदन स्रोत कोड प्रदान करना लॉग का प्रावधान विभिन्न विशेषाधिकार तक पहुंच प्रदान करना परीक्षण के लिए आवश्यक राशि में धन (सिक्के) का प्रावधान

हैकन में, हम निम्नलिखित क्रम में भेद्यता का परीक्षण करते हैं:

1. सार्वजनिक रूप से उपलब्ध जानकारी का अध्ययन।
2. स्वचालित उपकरणों द्वारा सत्यापन।
3. मैनुअल मोड में जांचें।
4. रिपोर्ट लेखन।

क्रिप्टो एक्सचेंज और क्रिप्टो जेब के परीक्षण की विशेषताएं

1. केवाईसी सत्यापन का परीक्षण - यह अधिकांश क्रिप्टो एक्सचेंजों और ICOs की आवश्यकता है।

यह खंड परीक्षण फ़ाइल डाउनलोड (किसी व्यक्ति की पहचान की पुष्टि करने वाले दस्तावेजों के फोटो या स्क्रीनशॉट) पर चर्चा करता है।

• सिस्टम सर्वर के लिए निष्पादन योग्य फ़ाइलों को डाउनलोड करने की क्षमता की जांच करना
• स्कैन किए गए दस्तावेजों की चोरी की संभावना की जांच करें - जानवर बल फ़ाइल नाम और निर्देशिका।
• सर्वर फाइल सिस्टम में अनधिकृत पहुंच की जाँच करना।

2. इनपुट-आउटपुट फंड का परीक्षण

• धनराशि जमा / निकालते समय गोलाई संख्याओं की शुद्धता की जाँच करना।
• धनराशि जमा करने / निकालने के दौरान वॉलेट पते के प्रतिस्थापन की जाँच करना (सबसे सरल त्रुटि प्रेषक और प्राप्तकर्ता के बटुए की जाँच नहीं कर रही है, लेकिन यह बहुत महत्वपूर्ण है)।
• धनराशि जमा / निकालते समय काम के तर्क की जाँच करना।
• खरीद-बिक्री संचालन (दो-कारक प्रमाणीकरण कोड, ओटीपी, विशेष पासवर्ड) की पुष्टि के बाईपास की जाँच करना।
• दौड़ की स्थिति की वापसी की कमजोरियों की जाँच करें।
• धनराशि के इनपुट / आउटपुट की सीमाओं से परे जाने की संभावना की जाँच करना।

3. क्रिप्टोकरेंसी की खरीद और बिक्री का परीक्षण (केवल एक्सचेंजों पर लागू करें)

• फंड खरीदते और बेचते समय राउंडिंग नंबरों की शुद्धता की जांच करना।
• खरीद और बिक्री के दौरान पते के प्रतिस्थापन का सत्यापन।
• फंड खरीदते और बेचते समय काम के तर्क की जाँच करना।
• विक्रय आदेश के प्रतिस्थापन या संशोधन की संभावना की जाँच करना।
• खरीद-बिक्री संचालन (दो-कारक प्रमाणीकरण कोड, ओटीपी, विशेष पासवर्ड) की पुष्टि के बाईपास की जाँच करना।
• खरीद / बिक्री के संचालन के कार्यान्वयन में रेस की स्थिति की संभावना की जाँच करना।
• वॉलेट पते को स्पूफ करने की संभावना की जांच करना।

वेब पार्ट टेस्टिंग

4. पंजीकरण प्रक्रिया का परीक्षण

• पंजीकरण के दौरान आने वाले मापदंडों को छानना।
• उपयोगकर्ता की पुष्टि कार्यक्षमता का सत्यापन।
• उपयोगकर्ता नाम, ईमेल पते और फ़ोन नंबर पर पुनरावृति करने की क्षमता की जाँच करना।
• पंजीकरण के दौरान कैप्चा चेक को बायपास करने की संभावना की जांच करना।
• पासवर्ड रीसेट करने और डेटा बदलने पर भेद्यता और तर्क की जाँच करना।

5. प्रमाणीकरण प्रक्रिया का परीक्षण

• प्रमाणीकरण फ़िल्टरिंग जाँच।
• शब्दकोश में एक उपयोगकर्ता नाम और पासवर्ड चुनने की संभावना की जाँच करना (ब्रूट फोर्स के खिलाफ सुरक्षा)।
• चेक बायपास चेक कैप्चा।
• दो-कारक प्रमाणीकरण बायपास का सत्यापन
• दो-कारक प्रमाणीकरण को अक्षम करने की क्षमता की जांच करना।
• प्रमाणीकरण के दौरान डेटा रिसाव के लिए जाँच।

6. फ्रेमवर्क और प्रौद्योगिकियों का परीक्षण करना जो एक्सचेंज के विकास में उपयोग किए गए थे

कमजोरियों के लिए परीक्षण के दौरान, उन तकनीकों और तकनीकों (रूपरेखाओं) को निर्धारित करना आवश्यक है जिनके साथ एक्सचेंज विकसित किए गए थे। इस प्रकार, जब उस तकनीक को समझना जिसके साथ बटुआ या विनिमय विकसित किया गया था, तो आप खुले स्रोतों में पहले से खोजे गए संभावित शोषण या कमजोरियों का पता लगा सकते हैं। यह सत्यापित करना आवश्यक है कि सभी तृतीय-पक्ष लाइब्रेरी, फ्रेमवर्क और सॉफ़्टवेयर में रिलीज़ के समय या सुरक्षा प्रणालियों के सही कॉन्फ़िगरेशन के लिए सार्वजनिक रूप से उपलब्ध कमजोरियाँ नहीं हैं (उदाहरण के लिए, CloudFlare)।

7. OWASP परीक्षण

OWASP पद्धति में एक चेकलिस्ट शामिल है जो एक वेबसाइट के लिए सभी संभावित सुरक्षा जोखिमों की जांच करता है। इस प्रकार, ऐसा चेक आपको संभावित कमजोरियों की पहचान करने की अनुमति देता है (ठीक है, बहुत अधिक अनुभव के हाथों की प्रत्यक्षता और परीक्षक के कौशल पर निर्भर करता है)

सबसे अधिक बार पाया गया:

• पीछे के छोर पर फ़िल्टरिंग मापदंडों की जाँच करना, क्योंकि वे अक्सर सामने के छोर पर ही जांचे जाते हैं
• HTTP अनुरोध झंडे की अनुपस्थिति, जो महत्वपूर्ण नहीं है, लेकिन पासवर्ड कैशिंग या क्लिकजैकिंग हमले की संभावना को जन्म दे सकता है
• सत्र प्रबंधन का अभाव: यह इस तथ्य को जन्म दे सकता है कि जब कोई कुकी चोरी होती है या हमलावर को कंप्यूटर या फोन तक सीधी पहुंच होती है, तो एक वैध उपयोगकर्ता से संचालन किया जा सकता है
• खुली सेवाओं के कमजोर संस्करण
• JSON वेब टोकन (JWT) का उपयोग करना, कमजोर एन्क्रिप्शन एल्गोरिदम के साथ

8. एपीआई का परीक्षण

• एपीआई के साथ बातचीत के लिए एक प्रोग्राम मॉड्यूल लिखकर और ग्राहक पक्ष और एपीआई पर संभव तार्किक कमजोरियों की जांच करके एपीआई कमजोरियों की जांच करना।
• अनुरोध की संरचना को देखने के लिए स्वैगर का उपयोग करें, यह समझना आवश्यक है कि सर्वर को क्या भेजा जाना चाहिए और इस तरह कमजोरियों के लिए एपीआई की जांच करें।

9. वेबस्केट्स का परीक्षण

सॉफ्टवेयर जो आमतौर पर परीक्षण के लिए उपयोग किया जाता है:

• BurpSuite
• Acunetix
• Zenmap
• ओवस्प जप
• sqlmap

और आवश्यकतानुसार अन्य उपकरण।

निष्कर्ष:

इस अनुच्छेद में मैंने एक्सचेंजों के परीक्षण के लिए कार्यप्रणाली को औपचारिक रूप देने और संरचना करने की कोशिश की, जिसे मैंने परीक्षण एक्सचेंजों और पर्स के 10 से अधिक मामलों में लागू किया। हमने इस पद्धति को हैकेन में एक्सचेंजों के परीक्षण के लिए मुख्य पद्धति के रूप में लिया। आज, ब्लॉकचेन प्रौद्योगिकियों, विकेंद्रीकृत समाधानों और क्रिप्टोकरेंसी का उद्योग लोकप्रियता के चरम पर है। मूर के नियम की तुलना में अक्सर पूछे जाने वाले प्रश्न और मैनुअल बहुत तेजी से पुराने हो जाते हैं, इसलिए लेख क्रिप्टो एक्सचेंजों के परीक्षण के लिए एक असाधारण मैनुअल होने का दावा नहीं करता है, यह केवल इस प्रक्रिया के दोहराए जाने के दौरान प्राप्त अनुभव को व्यक्त करता है।