Analisis penggunaan tanda tangan digital: 10 dari 15 cryptocurrency teratas tidak menandatangani perangkat lunak

Membaca berita terbaru tentang penggantian yang berhasil oleh penyerang dari kode proyek besar, pertanyaan alami muncul: bagaimana ini bahkan mungkin jika kode itu ditandatangani !? Mengabaikan aturan keamanan di cryptosphere adalah sebuah oxymoron dan, pada saat yang sama, sebuah fakta, oleh karena itu, sehingga artikel ini tidak berubah menjadi pembawa orang yang berbohong, saya memilih untuk analisis bukan pemula, tetapi cryptocurrency dari bagian atas peringkat CoinMarketCap. Dan, Anda menebaknya, tidak sia-sia.

Mari kita lihat bagaimana keadaan dengan penggunaan tanda tangan digital di kubu revolusi fintech.

Motivasi

Seperti yang kemungkinan besar Anda ketahui, peretasan situs resmi dan profil github dari proyek crypto cukup sering terjadi melalui penyebaran kode jahat. Terkadang alamat dompet diganti, dalam kasus lain perangkat lunak yang didistribusikan diganti. Metode peretasan berbeda: ada serangan pada salah satu node jaringan yang bertanggung jawab untuk pengiriman data dan substitusi tersembunyi dari fragmen data dilakukan. Mendeteksi spoof secara visual cukup sulit, yang digunakan penjahat cyber. Ada beberapa cara untuk bertahan melawan serangan semacam itu. Tanda tangan PGP dianggap standar: publikasi jumlah verifikasi yang ditandatangani. Dalam melakukannya, kunci PGP harus didistribusikan dengan benar. Misalnya, dipublikasikan di berbagai sumber (lebih disukai lebih dari dua).

Analisis

Untuk analisis, saya menggunakan sumber daya resmi, tautan yang saya terima dari berbagai sumber. Kemudian dia mulai mengumpulkan informasi bergerak dari berbagai arah. Analisis memperhitungkan publikasi perangkat lunak pengguna dan SDK. Untuk analisis, token atau proyek berdasarkan kontrak pintar tidak diambil, hanya cryptocurrency.

Hasil

(*) Ethereum Classic menggunakan perangkat lunak pihak ketiga dan tidak mempublikasikan informasi untuk mengkonfirmasi rilis.

Kesalahan umum

1. Kurangnya tanda tangan seperti itu ( 10/15 ):
   Mungkin berubah menjadi tidak ditandatangani sebagai kode yang dapat dieksekusi, tetapi perpustakaan dan perangkat lunak aplikasi yang tidak ditandatangani seperti dompet lebih umum.
2. Tanda tangan oleh Kunci yang Tidak Diterbitkan ( 15/2 ):
   Kode ini ditandatangani oleh beberapa pengembang yang kunci-kuncinya tidak diterbitkan di mana pun, dan karenanya tanda tangan semacam itu tidak berguna.
3. Publikasi kunci dan kode dalam satu sumber ( 15/5 ).
   Kesalahan yang sangat umum adalah publikasi kunci melalui tautan pada sumber daya pihak ketiga, atau pembuatan satu sumber tepercaya dalam bentuk situs. Jadi, untuk mengganti data, cukup dengan meretas situs saja.

Kesalahan atipikal

Monero menawarkan untuk melihat kunci di folder dengan data yang ditandatangani. Pada dasarnya, ini adalah kesalahan distribusi utama, yang menyebabkan hilangnya keandalan lengkap.

Catat!

• Litecoin menerbitkan kunci, termasuk sebagai tautan ke pgp.mit.edu sumber daya tepercaya.
• Ethereum dan Zcash menerbitkan daftar tombol terperinci:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• Ethereum menerbitkan kunci layanan CI.

Alasan

1. Kurangnya strategi terpadu . Saat ini tidak ada instruksi yang sesuai untuk sebagian besar pengembang untuk memecahkan masalah memastikan pengiriman kode dijamin pada platform yang berbeda. Sebagian besar pertunjukan amatir.
2. Usang . Jika Anda melihat situs utama teknologi PGP, Anda mendapat kesan bahwa teknologi tersebut terlupakan:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. Kurangnya alat komprehensif untuk menerbitkan dan memverifikasi tanda tangan . Sekalipun ada keinginan, pengguna akan menemui hambatan serius - banyak pengguna tidak tahu caranya dan tidak siap menggunakan konsol wajib untuk memverifikasi tanda tangan. Bahkan untuk pengembang, menggunakan tanda tangan bukanlah tugas yang sepele.
4. Protokol pertukaran kunci yang sudah tidak digunakan lagi . Pada abad ke-21, ketika pengembang hampir tidak pernah bertemu langsung, mengatur pertukaran kunci berdasarkan p2p menjadi sangat tidak nyaman dan kami membutuhkan alat untuk distribusi yang lebih cepat dan pencabutan tanda tangan.

Kiat

Kiat terbaik dalam situasi ini:

1. Pisahkan kunci berdasarkan tugas (ini akan membantu menghindari kebocoran kunci master atau penggunaan kunci pengembang untuk menandatangani rilis).
2. Gandakan informasi dalam beberapa sumber, misalnya, di situs web resmi dan di Github (meretas dua sumber daya pada saat yang sama lebih sulit daripada satu).
3. Buat url yang bisa dibaca manusia (lebih mudah diingat dan diperiksa).

Instruksi manual

Jika Anda belum menggunakan kunci PGP, saya sangat menyarankan agar Anda menyertakan verifikasi tanda tangan dalam alur kerja, bahkan jika Anda tidak mengembangkan proyek keuangan, lebih baik untuk membawa keterampilan ini ke otomatisme sebelum Anda membutuhkannya. Cukup dari kekuatan satu jam waktu sudah cukup untuk memulai, tetapi kesenangan yang diterima kemudian tidak dapat diukur.

Kesimpulan

Hari ini, infrastruktur pengiriman kode menderita penyakit pada masa kanak-kanak: fragmentasi, kurangnya praktik mapan, perangkat lunak yang tidak memenuhi kenyataan, dan pengembang proyek besar bahkan di bawah pengawasan ribuan mata berhasil membuat kesalahan sederhana ketika datang ke keamanan. Jadi percaya, tetapi periksa% username%!