Metamask Snap Audit Report für Peersyst

Management-Zusammenfassung

Peersyst kontaktierte Sayfer Security, um im August 2024 einen Penetrationstest für Peersysts MetaMask Snap durchzuführen.

Bevor wir die oben genannten Dienste bewerteten, hielten wir ein Kick-off-Meeting mit dem technischen Team von Peersyst ab und erhielten einen Überblick über das System und die Ziele dieser Untersuchung.

Im Forschungszeitraum von zwei Wochen haben wir drei Schwachstellen im System entdeckt.

Zusammenfassend lässt sich sagen, dass aufgrund des Berichts mehrere Korrekturen implementiert werden sollten, die Sicherheitslage des Systems jedoch ausreichend ist.

Nach einer Überprüfung durch das Sayfer-Team bestätigen wir, dass alle in diesem Bericht erwähnten Sicherheitsprobleme vom Peersyst-Team behoben wurden.

Risikomethodik

Bei Sayfer sind wir bestrebt, unseren Kunden Penetrationstests höchster Qualität anzubieten. Aus diesem Grund haben wir ein umfassendes Risikobewertungsmodell implementiert, um die Schwere unserer Ergebnisse zu bewerten und unseren Kunden die bestmöglichen Empfehlungen zur Risikominderung zu geben.

Unser Risikobewertungsmodell basiert auf zwei Schlüsselfaktoren: IMPACT und WAHRSCHEINLICHKEIT. Auswirkungen beziehen sich auf den potenziellen Schaden, der aus einem Problem resultieren könnte, beispielsweise finanzieller Verlust, Rufschädigung oder ein nicht betriebsbereites System. Die Wahrscheinlichkeit bezieht sich auf die Wahrscheinlichkeit, dass ein Problem auftritt, unter Berücksichtigung von Faktoren wie der Komplexität des Angriffs und der Anzahl potenzieller Angreifer.

Durch die Kombination dieser beiden Faktoren können wir ein umfassendes Verständnis des von einem bestimmten Problem ausgehenden Risikos schaffen und unseren Kunden eine klare und umsetzbare Einschätzung der Schwere des Problems liefern. Dieser Ansatz ermöglicht es uns, unsere Empfehlungen zu priorisieren und sicherzustellen, dass unsere Kunden die bestmögliche Beratung zum Schutz ihres Unternehmens erhalten.

Risiko wird wie folgt definiert:

Methodik der Sicherheitsbewertung

Sayfer verwendet OWASP WSTG als unser technischer Standard bei der Überprüfung von Webanwendungen. Nachdem wir uns ein gründliches Verständnis des Systems angeeignet hatten, entschieden wir, welche OWASP-Tests erforderlich sind, um das System zu evaluieren.

Sicherheitsbewertung

Nachdem wir den Umfang verstanden und definiert, eine Bedrohungsmodellierung durchgeführt und die richtigen Tests bewertet hatten, die erforderlich sind, um die Anwendung vollständig auf Sicherheitslücken zu überprüfen, führten wir unsere Sicherheitsbewertung durch.

Beschreibung der Problemtabelle

Titel der Ausgabe

Beschreibung

Hier geben wir eine kurze Beschreibung des Problems und seiner Entstehung, die Schritte, die wir unternommen haben, um es zu finden oder auszunutzen, zusammen mit einem Konzeptnachweis (falls vorhanden) und wie sich dieses Problem auf das Produkt oder seine Benutzer auswirken kann.

Mitigation

Vorgeschlagene Lösungsoptionen für dieses Problem und Links zu empfohlenen Websites zur weiteren Behebung.

Ergebnisse der Sicherheitsbewertung

Nutzung veralteter Funktionalitäten

Beschreibung

Der Snap verwendet Methoden aus der Snaps-SDK Bibliothek, wie zum Beispiel Trennlinie, Überschrift, Panel, Text und kopierbar, die beim Erstellen von Dialogen als veraltet markiert werden.

Metamask empfiehlt, diese durch neue JSX-Komponenten zu ersetzen. Die Verwendung von Code, der vom Ersteller nicht mehr unterstützt wird, gilt als schlechte Sicherheitspraxis.

Mitigation

Wir empfehlen, den Vorschlägen von Metamask zu folgen und JSX-Komponenten zu verwenden, die sie als Teil ihres SDK unterstützen.

Fehlende Validierung im ChangeNetworkHandler

Beschreibung

ChangeNetworkHandler ermöglicht das Ändern der unterstützten Blockchain, überprüft jedoch nicht, ob sich das neue Netzwerk vom alten unterscheidet.

Mitigation

Wenn das alte und das neue Netzwerk identisch sind, sollte der Benutzer eine Rückmeldung erhalten, dass seine Aktion keine Auswirkung hat.