Informe de auditoría instantánea de MetaMask para Polkadot

Resumen de gestión

Polkadot se puso en contacto con Sayfer Security para realizar una auditoría de seguridad en la aplicación Metamask Snap de Polkadot en agosto de 2023.

Antes de evaluar los servicios anteriores, realizamos una reunión inicial con el equipo técnico y recibimos una descripción general del sistema y los objetivos de esta investigación.

Durante el período de investigación de 2 semanas, descubrimos 5 vulnerabilidades en el código base del complemento.

En conclusión, se deben implementar varias correcciones después del informe, pero la postura de seguridad del sistema es competente.

Metodología de Riesgo

En Sayfer, estamos comprometidos a ofrecer pruebas de penetración de la más alta calidad a nuestros clientes. Es por eso que hemos implementado un modelo integral de evaluación de riesgos para evaluar la gravedad de nuestros hallazgos y brindar a nuestros clientes las mejores recomendaciones posibles para la mitigación.

Nuestro modelo de evaluación de riesgos se basa en dos factores clave: IMPACTO y PROBABILIDAD. El impacto se refiere al daño potencial que podría resultar de un problema, como pérdidas financieras, daños a la reputación o un sistema no operativo. La probabilidad se refiere a la probabilidad de que ocurra un problema, teniendo en cuenta factores como la complejidad del ataque y la cantidad de atacantes potenciales.

Al combinar estos dos factores, podemos crear una comprensión integral del riesgo que plantea un problema en particular y brindar a nuestros clientes una evaluación clara y procesable de la gravedad del problema. Este enfoque nos permite priorizar nuestras recomendaciones y garantizar que nuestros clientes reciban el mejor asesoramiento posible sobre cómo proteger su negocio.

El riesgo se define de la siguiente manera:

Metodología de Evaluación de Seguridad

usos sayfer OWASP WSTG como nuestro estándar técnico al revisar aplicaciones web. Después de obtener una comprensión profunda del sistema, decidimos qué pruebas OWASP se requieren para evaluar el sistema.

Evaluacion de seguridad

Después de comprender y definir el alcance, realizar modelos de amenazas y evaluar las pruebas correctas necesarias para verificar completamente la aplicación en busca de fallas de seguridad, realizamos nuestra evaluación de seguridad.

Descripción de la tabla de problemas

Título del problema

Descripción

Aquí proporcionamos una breve descripción del problema y cómo se formó, los pasos que seguimos para encontrarlo o explotarlo, junto con una prueba de concepto (si está presente) y cómo este problema puede afectar al producto o a sus usuarios.

Mitigación

Opciones de resolución sugeridas para este problema y enlaces a sitios recomendados para una mayor solución.

Conclusiones de la evaluación de seguridad

Las URL RPC se definen como wsRpcUrl mientras usa HTTP

Descripción

Las URL RPC de protocolos individuales se cambiaron en la última versión del complemento. Se utiliza HTTP (http://) en lugar de WebSocket (wss://).

Esto es inesperado, porque el documentación oficial de Polkadot indica solo direcciones de websocket en sus recursos. Además, en muchos lugares del código, los nombres de las variables todavía contienen el prefijo ws, como wsRpcurl.

predefinidos.ts:

wsRpcUrl: 'https: /

wsRpcUrl: 'https: /kusama-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /westend-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /rpc.polkadot.io/'

Mitigación

Asegúrese de que se supone que se utiliza el protocolo HTTP. Si es así, cambie la documentación oficial para reflejar esto y modifique los nombres de las variables relevantes.

conformaciones Las funciones clave no se gestionan cuando se rechazan

Descripción

Para las funciones clave de Snap (como mostrar la clave privada o firmar un mensaje), se muestran cuadros de diálogo para que el usuario confirme si sabe lo que está aceptando. Si el usuario confirma la transacción, se ejecuta. Lo contrario, cuando el usuario rechaza la transacción, no se maneja en absoluto.

exportSeed (SnapsGlobalObject), observe que no hay ningún bloque más

if (confirmation) {
    const bip44Node = (await snap.request({
    method: "snap_getBip44Entropy",
    params: { coinType: kusamaCoinType },
})) as JsonBIP44CoinTypeNode;

signPayloadJSON(SnapsGlobalObject, ApiPromise, SignerPayloadJSON)

if (confirmation) {
    const extrinsic = api.registry.createType('ExtrinsicPayload', payload, { version: payload.version });
    return extrinsic.sign(keyPair);
}

signPayloadRaw (SnapsGlobalObject, ApiPromise, SignerPayloadRaw)

if (confirmation) {
    const signedBytes = keyPair.sign(hexToU8a(payload.data));
    return {
    signature: u8aToHex(signedBytes)
};

Desafortunadamente, dado que las pruebas automatizadas no funcionaron, no pudimos verificar ni confirmar definitivamente este escenario.

Mitigación

Maneja el más caso, donde el usuario rechaza la transacción, en cuyo caso se debe mostrar un error apropiado.

No hay diálogo de confirmación al enviar

Descripción

Al firmar mensajes o mostrar la clave privada, el complemento muestra un cuadro de diálogo que le pregunta al usuario si está seguro de querer continuar. Sin embargo, no se muestra ningún diálogo de confirmación al realizar el envío.

Mitigación

Implementar un cuadro de diálogo pidiendo al usuario que confirme la transacción.

habilitarPolkadotSnap Devuelve un error al utilizar el valor predeterminado nombre de red

Descripción

Se ha observado que a pesar de seleccionar Westend como red predeterminada en complemento/src/configuration/predefinido.ts, si el adaptador ejecuta su única función expuesta, enablePolkadotSnap(), sin especificar config.networkName, se devolverá un error.

Esto es inconsistente con las suposiciones de Snap, descritas entre otras en el archivo README.md del adaptador, que indica que especificar una configuración anulará la predeterminada.

paquetes/snap/src/configuration/predefinido.ts; líneas 13-22, 35

export const westendConfiguration: SnapConfig = {
    addressPrefix: 42,
    networkName: "westend",
    unit: {
        decimals: 12,
        image: "https: /svgshare.com/i/L2d.svg",
        symbol: "WND",
    },
    wsRpcUrl: "wss: /westend-rpc.polkadot.io/",
};
[ .]
export const defaultConfiguration: SnapConfig = westendConfiguration;

paquetes/snap/src/configuration/predefinido.ts; líneas 27-29

if (!config.networkName) {
throw new Error("Configuration must at least define network type");
}

Mitigación

A juzgar por la documentación y por el código en predefinido.ts, este error no debería devolverse y debería utilizarse Westend. Por el contrario, Westend no debe establecerse como predeterminado y modificar la documentación para reflejarlo.

Demostración que no funciona

Descripción

Según la documentación, el comando yarn install & yarn run demo should run a working demo de Snap, permitiéndole instalarlo y utilizar las diversas funciones. Desafortunadamente, durante la instalación, la consola del navegador arrojó un error. Por lo tanto, la verificación de Snap como un “organismo vivo” fue imposible}

Mitigación

Sugerimos llevar Snap a un estado utilizable y luego realizar pruebas en profundidad en transacciones reales con la red Polkadot.