Rapport d'audit MetaMask Snap pour Polkadot

Résumé de gestion

Polkadot a contacté Sayfer Security afin d'effectuer un audit de sécurité sur l'application Metamask Snap de Polkadot en août 2023.

Avant d'évaluer les services ci-dessus, nous avons organisé une réunion de lancement avec l'équipe technique et avons reçu un aperçu du système et des objectifs de cette recherche.

Au cours de la période de recherche de 2 semaines, nous avons découvert 5 vulnérabilités dans la base de code du snap.

En conclusion, plusieurs correctifs devraient être mis en œuvre suite au rapport, mais la posture de sécurité du système est compétente.

Méthodologie des risques

Chez Sayfer, nous nous engageons à fournir à nos clients des tests d'intrusion de la plus haute qualité. C'est pourquoi nous avons mis en œuvre un modèle complet d'évaluation des risques pour évaluer la gravité de nos constatations et fournir à nos clients les meilleures recommandations possibles pour les atténuer.

Notre modèle d’évaluation des risques repose sur deux facteurs clés : IMPACT ainsi que PROBABILITÉ. L'impact fait référence au préjudice potentiel qui pourrait résulter d'un problème, tel qu'une perte financière, une atteinte à la réputation ou un système non opérationnel. La probabilité fait référence à la probabilité qu'un problème se produise, en tenant compte de facteurs tels que la complexité de l'attaque et le nombre d'attaquants potentiels.

En combinant ces deux facteurs, nous pouvons créer une compréhension globale du risque posé par un problème particulier et fournir à nos clients une évaluation claire et exploitable de la gravité du problème. Cette approche nous permet de prioriser nos recommandations et de garantir que nos clients reçoivent les meilleurs conseils possibles sur la façon de protéger leur entreprise.

Le risque est défini comme suit :

Méthodologie d'évaluation de la sécurité

Sayfer utilise OWASP WSTG comme norme technique lors de l'examen des applications Web. Après avoir acquis une compréhension approfondie du système, nous avons décidé quels tests OWASP sont nécessaires pour évaluer le système.

Évaluation de sécurité

Après avoir compris et défini la portée, effectué une modélisation des menaces et évalué les tests corrects requis afin de vérifier complètement l'application pour les failles de sécurité, nous avons effectué notre évaluation de sécurité.

Description de la table de problématique

Titre du problème

Description

Nous fournissons ici une brève description du problème et de la manière dont il s'est formé, des étapes que nous avons suivies pour le trouver ou l'exploiter, ainsi que d'une preuve de concept (le cas échéant) et de la manière dont ce problème peut affecter le produit ou ses utilisateurs.

Atténuation

Options de résolution suggérées pour ce problème et liens vers des sites conseillés pour des mesures correctives ultérieures.

Résultats de l'évaluation de la sécurité

Les URL RPC sont définies comme wsRpcUrl en utilisant HTTP

Description

Les URL RPC des protocoles individuels ont été modifiées dans la dernière version du snap. HTTP (http://) est utilisé à la place de WebSocket (wss://).

C'est inattendu, car le documentation officielle de Polkadot indique uniquement les adresses Websocket dans leurs ressources. De plus, à de nombreux endroits du code, les noms de variables contiennent toujours le préfixe ws, tel que wsRpcurl.

prédéfini.ts :

wsRpcUrl: 'https: /

wsRpcUrl: 'https: /kusama-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /westend-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /rpc.polkadot.io/'

Atténuation

Assurez-vous que le protocole HTTP est censé être utilisé. Si tel est le cas, modifiez la documentation officielle pour refléter cela et modifiez les noms de variables pertinents.

Conformation car les fonctionnalités clés ne sont pas gérées en cas de rejet

Description

Pour les fonctionnalités clés de Snap (telles que l'affichage de la clé privée ou la signature d'un message), des boîtes de dialogue s'affichent pour que l'utilisateur confirme s'il est conscient de ce qu'il accepte. Si l'utilisateur confirme la transaction, celle-ci est exécutée. L’inverse, lorsque l’utilisateur rejette la transaction, n’est pas du tout géré.

exportSeed (SnapsGlobalObject), remarquez qu'il n'y a pas de bloc else

if (confirmation) {
    const bip44Node = (await snap.request({
    method: "snap_getBip44Entropy",
    params: { coinType: kusamaCoinType },
})) as JsonBIP44CoinTypeNode;

signPayloadJSON (SnapsGlobalObject, ApiPromise, SignerPayloadJSON)

if (confirmation) {
    const extrinsic = api.registry.createType('ExtrinsicPayload', payload, { version: payload.version });
    return extrinsic.sign(keyPair);
}

signPayloadRaw (SnapsGlobalObject, ApiPromise, SignerPayloadRaw)

if (confirmation) {
    const signedBytes = keyPair.sign(hexToU8a(payload.data));
    return {
    signature: u8aToHex(signedBytes)
};

Malheureusement, les tests automatisés n’ayant pas fonctionné, nous n’avons pas pu vérifier et confirmer définitivement ce scénario.

Atténuation

Manipulez le d'autre cas, où l'utilisateur rejette la transaction, auquel cas une erreur appropriée doit être affichée.

Pas de dialogue de confirmation lors de l'envoi

Description

Lors de la signature de messages ou de l'affichage de la clé privée, le snap affiche une boîte de dialogue demandant à l'utilisateur s'il est sûr de vouloir continuer. Cependant, aucun dialogue de confirmation de ce type ne s'affiche lors de l'envoi.

Atténuation

Implémentez une boîte de dialogue demandant à l'utilisateur de confirmer la transaction.

activerPolkadotSnap Renvoie une erreur lors de l'utilisation de la valeur par défaut nom de réseau

Description

Il a été remarqué que malgré la sélection de Westend comme réseau par défaut dans snap/src/configuration/predéfini.ts, si l'adaptateur exécute sa seule fonction exposée, activatePolkadotSnap(), sans spécifier config.networkName, une erreur sera renvoyée.

Ceci est incompatible avec les hypothèses de Snap, décrites entre autres dans le README.md de l'adaptateur, qui indique que la spécification d'une configuration remplacera celle par défaut.

packages/snap/src/configuration/predéfini.ts ; lignes 13-22, 35

export const westendConfiguration: SnapConfig = {
    addressPrefix: 42,
    networkName: "westend",
    unit: {
        decimals: 12,
        image: "https: /svgshare.com/i/L2d.svg",
        symbol: "WND",
    },
    wsRpcUrl: "wss: /westend-rpc.polkadot.io/",
};
[ .]
export const defaultConfiguration: SnapConfig = westendConfiguration;

packages/snap/src/configuration/predéfini.ts ; lignes 27-29

if (!config.networkName) {
throw new Error("Configuration must at least define network type");
}

Atténuation

À en juger par la documentation et par le code dans prédéfini.ts, cette erreur ne doit pas être renvoyée et Westend doit être utilisé. À l’inverse, Westend ne doit pas être défini comme valeur par défaut et la documentation doit être modifiée pour refléter cela.

Démo qui ne fonctionne pas

Description

D'après la documentation, la commande yarn install & yarn run demo should run a working demo de Snap, vous permettant de l'installer et d'utiliser les différentes fonctionnalités. Malheureusement, lors de l'installation, la console du navigateur a renvoyé une erreur. Ainsi, la vérification de Snap en tant qu'« organisme vivant » était impossible.}

Atténuation

Nous suggérons de remettre Snap dans un état utilisable, puis d'effectuer des tests approfondis sur des transactions réelles avec le réseau Polkadot.