Análise do uso de assinaturas digitais: 10 das 15 principais criptomoedas não assinam software

Lendo as últimas notícias sobre a substituição bem-sucedida pelos invasores do código de um grande projeto, surge naturalmente a pergunta: como isso é possível se o código foi assinado!? Ignorar as regras de segurança na criptosfera é um oxímoro e, ao mesmo tempo, um fato, portanto, para que este artigo não se transforme em portador de um homem mentiroso, selecionei para análise não iniciantes, mas criptomoedas no topo da classificação CoinMarketCap. E você adivinhou, não em vão.

Vamos ver como estão as coisas com o uso de assinaturas digitais na fortaleza da revolução das fintech.

Motivação

Como você provavelmente sabe, hacks de sites oficiais e perfis do github de projetos de criptografia ocorrem com bastante frequência por meio da qual o código malicioso se espalha. Às vezes, os endereços da carteira são substituídos; em outros casos, o software distribuído é substituído. Os métodos de hacking diferem: há um ataque em um dos nós da rede responsáveis ​​pela entrega dos dados e uma substituição oculta de um fragmento de dados é realizada. Detectar uma paródia é visualmente bastante difícil, que é o que os cibercriminosos usam. Existem várias maneiras de se defender contra esse ataque. A assinatura PGP é considerada padrão: publicação de somas de verificação assinadas. Ao fazer isso, a chave PGP deve ser adequadamente distribuída. Por exemplo, publicado em vários recursos (de preferência mais de dois).

Análise

Para análise, usei recursos oficiais, links para os quais recebi de várias fontes. Então ele começou a coletar informações movendo-se de diferentes direções. A análise levou em consideração a publicação do software do usuário e do SDK. Para análise, tokens ou projetos baseados em contratos inteligentes não foram utilizados, apenas criptomoedas.

Resultados

(*) O Ethereum Classic usa software de terceiros e não publica informações para confirmar o lançamento.

Erros comuns

1. Falta de assinatura como tal ( 10/15 ):
   Pode não ser assinado como código executável, mas bibliotecas não assinadas e software de aplicativo, como carteiras, são mais comuns.
2. Assinatura por chaves não publicadas ( 2/15 ):
   O código é assinado por vários desenvolvedores cujas chaves não são publicadas em nenhum lugar e, portanto, essas assinaturas são inúteis.
3. Publicação de chaves e código em uma fonte ( 5/15 ).
   Um erro muito comum é a publicação de chaves por meio de um link em um recurso de terceiros ou a criação de uma única fonte confiável na forma de um site. Assim, para substituir os dados, basta invadir apenas o site.

Erros atípicos

Monero oferece olhar as chaves na pasta com os dados assinados. Em essência, esse é um erro de distribuição importante, que leva a uma completa perda de confiabilidade.

Nota!

• O Litecoin publica chaves, inclusive como um link para o recurso confiável pgp.mit.edu.
• Ethereum e Zcash publicam listas de chaves detalhadas:
  
  • https://geth.ethereum.org/downloads/#openpgp_signatures .
  • https://z.cash/support/pubkeys.html .
• Ethereum publica chaves de serviço de IC.

Razões

1. Falta de uma estratégia unificada . Atualmente, não há instruções que atendam à maioria dos desenvolvedores para resolver os problemas de garantir a entrega garantida de código em diferentes plataformas. Uma grande proporção de performances amadoras.
2. Obsolescência . Se você observar os principais sites da tecnologia PGP, terá a impressão de que a tecnologia está esquecida:
   
   • http://pgp.mit.edu/
   • https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
3. Falta de ferramentas abrangentes para publicação e verificação de assinaturas . Mesmo se houver um desejo, o usuário encontrará sérios obstáculos no caminho - muitos usuários não sabem como e não estão prontos para usar o console obrigatório para verificar a assinatura. Mesmo para desenvolvedores, usar uma assinatura não é uma tarefa trivial.
4. Protocolo de troca de chaves descontinuado . No século 21, quando os desenvolvedores quase nunca se encontram pessoalmente, organizar uma troca de chaves em uma base p2p não se torna muito conveniente e são necessárias ferramentas para uma distribuição e revogação mais rápidas de assinaturas.

Dicas

As melhores dicas nessa situação:

1. Chaves separadas por tarefa (isso ajudará a evitar o vazamento de uma chave mestra ou o uso de uma chave de desenvolvedor para assinar um release).
2. Duplique informações em várias fontes, por exemplo, no site oficial e no Github (invadir dois recursos ao mesmo tempo é mais difícil que um).
3. Gere um URL legível por humanos (eles são mais fáceis de lembrar e verificar).

Manual de instruções

Se você ainda não estiver usando chaves PGP, recomendo que você inclua a verificação de assinatura no fluxo de trabalho, mesmo se você não estiver desenvolvendo projetos financeiros, é melhor trazer essa habilidade para o automatismo antes que você precise. O suficiente da força de uma hora é suficiente para começar, mas o prazer recebido então não pode ser medido.

Conclusão

Hoje, a infraestrutura de entrega de código sofre de doenças na infância: fragmentação, falta de práticas estabelecidas, software que não atende às realidades e desenvolvedores de projetos ainda grandes, sob o escrutínio de milhares de olhos, conseguem cometer erros simples quando se trata de segurança. Portanto, confie, mas verifique% username%!