MetaMask Snap revisionsrapport til Polkadot

Ledelsesoversigt

Polkadot kontaktede Sayfer Security for at udføre en sikkerhedsrevision af Polkadots Metamask Snap-applikation i august 2023.

Inden vi vurderede ovenstående tjenester, holdt vi et kickoff-møde med det tekniske team og fik et overblik over systemet og målene for denne forskning.

I løbet af undersøgelsesperioden på 2 uger opdagede vi 5 sårbarheder på tværs af snapsens kodebase.

Som konklusion bør flere rettelser implementeres efter rapporten, men systemets sikkerhedsposition er kompetent.

Risikometodologi

Hos Sayfer er vi forpligtet til at levere penetrationstest af højeste kvalitet til vores kunder. Det er derfor, vi har implementeret en omfattende risikovurderingsmodel for at evaluere alvoren af ​​vores resultater og give vores kunder de bedst mulige anbefalinger til afbødning.

Vores risikovurderingsmodel er baseret på to nøglefaktorer: IMPACT og SANDSYNLIGHED. Påvirkning refererer til den potentielle skade, der kan følge af et problem, såsom økonomisk tab, skade på omdømme eller et ikke-operativt system. Sandsynlighed refererer til sandsynligheden for, at et problem vil opstå under hensyntagen til faktorer som kompleksiteten af ​​angrebet og antallet af potentielle angribere.

Ved at kombinere disse to faktorer kan vi skabe en omfattende forståelse af den risiko, et bestemt problem udgør, og give vores kunder en klar og handlekraftig vurdering af problemets alvor. Denne tilgang giver os mulighed for at prioritere vores anbefalinger og sikre, at vores kunder får den bedst mulige rådgivning om, hvordan de beskytter deres forretning.

Risiko er defineret som følger:

Sikkerhedsvurderingsmetode

Sayfer bruger OWASP WSTG som vores tekniske standard ved gennemgang af webapplikationer. Efter at have fået en grundig forståelse af systemet besluttede vi, hvilke OWASP-tests der kræves for at evaluere systemet.

Sikkerhedsvurdering

Efter at have forstået og defineret omfanget, udført trusselsmodellering og evalueret de korrekte test, der kræves for fuldt ud at kontrollere applikationen for sikkerhedsfejl, udførte vi vores sikkerhedsvurdering.

Beskrivelse af problemtabel

Udgavetitel

Beskrivelse

Her giver vi en kort beskrivelse af problemet og hvordan det opstod, de trin, vi tog for at finde eller udnytte det, sammen med proof of concept (hvis det er til stede), og hvordan dette problem kan påvirke produktet eller dets brugere.

Mitigation

Foreslåede løsningsmuligheder for dette problem og links til anbefalede websteder for yderligere afhjælpning.

Sikkerhedsvurderingsresultater

RPC URL'er er defineret som wsRpcUrl mens du bruger HTTP

Beskrivelse

RPC-URL'erne for individuelle protokoller er blevet ændret i den seneste version af snap. HTTP (http://) bruges i stedet for WebSocket (wss://).

Dette er uventet, fordi officiel Polkadot-dokumentation angiver kun websocket-adresser i deres ressourcer. Derudover indeholder variabelnavne mange steder i koden stadig ws-præfikset, såsom wsRpcurl.

foruddefineret.ts:

wsRpcUrl: 'https: /

wsRpcUrl: 'https: /kusama-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /westend-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /rpc.polkadot.io/'

Mitigation

Sørg for, at HTTP-protokollen formodes at blive brugt. Hvis det er det, skal du ændre den officielle dokumentation for at afspejle dette, og ændre de relevante variabelnavne.

Konformationer for nøglefunktioner håndteres ikke, når de afvises

Beskrivelse

For nøgle Snap-funktioner (såsom visning af den private nøgle eller signering af en besked), vises dialogbokse, så brugeren kan bekræfte, om de er klar over, hvad de accepterer. Hvis brugeren bekræfter transaktionen, udføres den. Det omvendte, når brugeren afviser transaktionen, håndteres slet ikke.

exportSeed(SnapsGlobalObject), bemærk, hvordan der ikke er nogen anden blok

if (confirmation) {
    const bip44Node = (await snap.request({
    method: "snap_getBip44Entropy",
    params: { coinType: kusamaCoinType },
})) as JsonBIP44CoinTypeNode;

signPayloadJSON(SnapsGlobalObject, ApiPromise, SignerPayloadJSON)

if (confirmation) {
    const extrinsic = api.registry.createType('ExtrinsicPayload', payload, { version: payload.version });
    return extrinsic.sign(keyPair);
}

signPayloadRaw(SnapsGlobalObject, ApiPromise, SignerPayloadRaw)

if (confirmation) {
    const signedBytes = keyPair.sign(hexToU8a(payload.data));
    return {
    signature: u8aToHex(signedBytes)
};

Desværre, da de automatiserede tests ikke virkede, kunne vi ikke definitivt bekræfte og bekræfte dette scenarie.

Mitigation

Håndter andet tilfælde, hvor brugeren afviser transaktionen, i hvilket tilfælde en passende fejl skal vises.

Ingen bekræftelsesdialog ved afsendelse

Beskrivelse

Når du signerer beskeder eller viser den private nøgle, viser snappen en dialogboks, der spørger brugeren, om de er sikre på, at de vil fortsætte. Der vises dog ingen sådan bekræftelsesdialog ved afsendelse.

Mitigation

Implementer en dialogboks, der beder brugeren om at bekræfte transaktionen.

aktiver PolkadotSnap Returnerer en fejl ved brug af standarden netværksnavn

Beskrivelse

Det er blevet bemærket, at trods valg af Westend som standardnetværk i snap/src/configuration/predefined.ts, hvis adapteren udfører sin eneste udsatte funktion, enablePolkadotSnap(), uden at angive config.networkName, vil der blive returneret en fejl.

Dette er ikke i overensstemmelse med Snaps antagelser, beskrevet blandt andet i README.md af adapteren, hvilket indikerer, at specificering af en konfiguration vil tilsidesætte standardkonfigurationen.

packages/snap/src/configuration/predefined.ts; linje 13-22, 35

export const westendConfiguration: SnapConfig = {
    addressPrefix: 42,
    networkName: "westend",
    unit: {
        decimals: 12,
        image: "https: /svgshare.com/i/L2d.svg",
        symbol: "WND",
    },
    wsRpcUrl: "wss: /westend-rpc.polkadot.io/",
};
[ .]
export const defaultConfiguration: SnapConfig = westendConfiguration;

packages/snap/src/configuration/predefined.ts; linje 27-29

if (!config.networkName) {
throw new Error("Configuration must at least define network type");
}

Mitigation

At dømme efter dokumentationen og koden i foruddefineret.ts, denne fejl skal ikke returneres, og Westend skal bruges. Omvendt bør Westend ikke indstilles som standard, og dokumentationen skal ændres for at afspejle det.

Ikke-fungerende demo

Beskrivelse

Ifølge dokumentationen er kommandoen yarn install & yarn run demo should run a working demo af Snap, så du kan installere det og bruge de forskellige funktioner. Under installationen returnerede browserkonsollen desværre en fejl. Verifikationen af ​​Snap som en "levende organisme" var således umulig}

Mitigation

Vi foreslår at bringe Snap til en brugbar tilstand og derefter udføre dybdegående test af rigtige transaktioner med Polkadot-netværket.