Rapporto di verifica di Metamask Snap per Qtum

Sommario di gestione

Qtum ha contattato Sayfer Security per eseguire test di penetrazione su MetaMask Snap di Qtum nel 05/2024.

Prima di valutare i servizi di cui sopra, abbiamo tenuto un incontro iniziale con il team tecnico di Qtum e abbiamo ricevuto una panoramica del sistema e degli obiettivi di questa ricerca.

Nel corso di un periodo di ricerca di 2 settimane, abbiamo scoperto 5 vulnerabilità nel sistema, nessuna delle quali critica.

In conclusione, a seguito del rapporto dovrebbero essere implementate diverse soluzioni, ma il livello di sicurezza del sistema è adeguato.

Dopo una revisione da parte del team Sayfer, certifichiamo che tutti i problemi di sicurezza menzionati in questo rapporto sono stati risolti dal team Qtum.

Metodologia del rischio

Noi di Sayfer ci impegniamo a fornire ai nostri clienti test di penetrazione della massima qualità. Ecco perché abbiamo implementato un modello completo di valutazione del rischio per valutare la gravità dei nostri risultati e fornire ai nostri clienti le migliori raccomandazioni possibili per la mitigazione.

Il nostro modello di valutazione del rischio si basa su due fattori chiave: IMPATTO and PROBABILITÀ. L'impatto si riferisce al danno potenziale che potrebbe derivare da un problema, come una perdita finanziaria, un danno alla reputazione o un sistema non operativo. La probabilità si riferisce alla probabilità che si verifichi un problema, tenendo conto di fattori quali la complessità dell'attacco e il numero di potenziali aggressori.

Combinando questi due fattori, possiamo creare una comprensione completa del rischio posto da un particolare problema e fornire ai nostri clienti una valutazione chiara e attuabile della gravità del problema. Questo approccio ci consente di dare priorità alle nostre raccomandazioni e garantire che i nostri clienti ricevano la migliore consulenza possibile su come proteggere la loro attività.

Il rischio è definito come segue:

Metodologia di valutazione della sicurezza

Sayfer utilizza OWASP WSTG come nostro standard tecnico durante la revisione delle applicazioni web. Dopo aver acquisito una conoscenza approfondita del sistema, abbiamo deciso quali test OWASP sono necessari per valutare il sistema.

Valutazione della sicurezza

Dopo aver compreso e definito l'ambito, eseguito la modellazione delle minacce e valutato i test corretti richiesti per verificare completamente l'eventuale presenza di difetti di sicurezza nell'applicazione, abbiamo eseguito la nostra valutazione della sicurezza.

Descrizione della tabella dei problemi

Titolo del problema

Descrizione

Qui forniamo una breve descrizione del problema e di come si è formato, i passaggi che abbiamo effettuato per individuarlo o sfruttarlo, insieme alla prova di concetto (se presente) e in che modo questo problema può influire sul prodotto o sui suoi utenti.

Mitigazione

Opzioni di risoluzione suggerite per questo problema e collegamenti a siti consigliati per ulteriori soluzioni.

Risultati della valutazione della sicurezza

Nessun metodo per rimuovere le reti aggiunte

Descrizione

Il codice implementa la possibilità di aggiungere ulteriori Reti, estendendone l'elenco oltre quello predefinito. Tuttavia, è stato notato che non è possibile rimuoverli se non reinstallando lo snap. Questa funzionalità è stata probabilmente pianificata, poiché esiste una funzioneremoveNetwork(), ma non è possibile richiamarla da metodi disponibili pubblicamente.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

Mitigazione

Consigliamo di implementare questo metodo, come probabilmente era previsto.

Richiesta di conferma mancante per l'esportazione delle chiavi private

Descrizione

Nella maggior parte delle funzioni critiche dello snap viene visualizzata una finestra di dialogo che informa l'utente sull'azione eseguita e ne richiede l'approvazione.

Questa misura di sicurezza però non è presente nel metodo WalletExportPrivateKey, quello utilizzato per visualizzare la chiave privata sullo snap screen. Se invocato per errore, visualizzerebbe immediatamente la chiave privata.

Mitigazione

Prima di visualizzare la chiave privata, aggiungere una richiesta di conferma che richiede l'approvazione dell'utente.

Metodi multipli non implementati

Descrizione

Gran parte dei metodi presenti nello snap sembrano essere lasciati inutilizzati. Esiste solo lo standard che li circonda, ma nessuna logica concreta.

Mitigazione

Ti consigliamo di rivedere i metodi che desideri implementare nel tuo snap e di assicurarti che contengano tutti una logica effettiva. Non dovrebbe essere possibile per l'utente chiamare metodi non necessari che non si intende implementare.

Codice ridondante

Descrizione

Durante la nostra analisi, abbiamo notato che due metodi RPC, EthRequestAccounts e EthAccounts, sembrano fare la stessa cosa e restituire gli stessi valori.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

In entrambi i casi, questi metodi recuperano i dati del portafoglio attivo utilizzando getWallet() e quindi restituiscono il suo indirizzo. Attualmente, l'unica differenza è che EthAccounts registra mentre EthRequestAccounts no.

Mitigazione

Considera la possibilità di rimuovere uno dei metodi o di modificarne uno per differenziarlo dall'altro

Commenti TODO rimasti

Descrizione

La base di codice contiene diversi commenti TODO e anche sezioni di codice commentato che non viene più utilizzato.

Sebbene ciò sia accettabile in un ambiente di test, dovrebbe essere eliminato nella produzione. Tali commenti possono fornire a un potenziale interessato informazioni preziose sulle funzionalità mancanti, sulle misure di sicurezza e sui pensieri degli sviluppatori, che possono essere utilizzate per profilare gli attacchi.

Mitigazione

Ti consigliamo di rimuovere i commenti contrassegnati come TODO e i frammenti di codice non utilizzati nel tuo ramo di produzione.