דוח ביקורת Snap Metamask עבור Qtum

תקציר ניהול

Qtum יצרה קשר עם Sayfer Security על מנת לבצע בדיקות חדירה ב- MetaMask Snap של Qtum ב-05/2024.

לפני הערכת השירותים הנ"ל, קיימנו פגישת פתיחה עם הצוות הטכני של Qtum וקיבלנו סקירה כללית של המערכת והמטרות למחקר זה.

במהלך תקופת המחקר של שבועיים גילינו 2 נקודות תורפה במערכת, אף אחת מהן לא קריטית.

לסיכום, יש ליישם מספר תיקונים בעקבות הדוח, אך עמדת האבטחה של המערכת מוכשרת.

לאחר בדיקה של צוות Sayfer, אנו מאשרים שכל בעיות האבטחה המוזכרות בדוח זה טופלו על ידי צוות Qtum.

מתודולוגיית סיכונים

ב-Sayfer, אנו מחויבים לספק את בדיקות החדירה האיכותיות ביותר ללקוחותינו. זו הסיבה שיישמנו מודל הערכת סיכונים מקיף כדי להעריך את חומרת הממצאים שלנו ולספק ללקוחותינו את ההמלצות הטובות ביותר להפחתה.

מודל הערכת הסיכונים שלנו מבוסס על שני גורמים מרכזיים: אימפקט ו סְבִירוּת. השפעה מתייחסת לנזק הפוטנציאלי שעלול לנבוע מבעיה, כגון הפסד כספי, פגיעה במוניטין או מערכת לא תפעולית. סבירות מתייחסת להסתברות שתתרחש בעיה, תוך התחשבות בגורמים כמו מורכבות המתקפה ומספר התוקפים הפוטנציאליים.

על ידי שילוב של שני גורמים אלו, נוכל ליצור הבנה מקיפה של הסיכון הנשקף מבעיה מסוימת ולספק ללקוחותינו הערכה ברורה וניתנת לפעולה לגבי חומרת הבעיה. גישה זו מאפשרת לנו לתעדף את ההמלצות שלנו ולהבטיח שלקוחותינו יקבלו את הייעוץ הטוב ביותר כיצד להגן על העסק שלהם.

הסיכון מוגדר כדלקמן:

מתודולוגיית הערכת אבטחה

סייפר משתמש OWASP WSTG כסטנדרט הטכני שלנו בעת סקירת יישומי אינטרנט. לאחר הבנה מעמיקה של המערכת החלטנו אילו בדיקות OWASP נדרשות להערכת המערכת.

הערכת אבטחה

לאחר הבנת והגדרת ההיקף, ביצוע מודלים של איומים והערכת הבדיקות הנכונות הנדרשות על מנת לבדוק את האפליקציה במלואה לגבי פגמי אבטחה, ביצענו את הערכת האבטחה שלנו.

תיאור טבלת הנושא

כותרת גיליון

תיאור

כאן אנו מספקים תיאור קצר של הבעיה וכיצד היא נוצרה, הצעדים שעשינו כדי למצוא או לנצל אותה, יחד עם הוכחת הרעיון (אם קיים), וכיצד בעיה זו יכולה להשפיע על המוצר או המשתמשים בו.

הקלות

הציע אפשרויות פתרון לבעיה זו וקישורים לאתרים מומלצים לתיקון נוסף.

ממצאי הערכת אבטחה

אין שיטה להסיר רשתות שנוספו

תיאור

הקוד מיישם את היכולת להוסיף רשתות נוספות, ומרחיב את הרשימה שלהן מעבר לברירת המחדל. עם זאת, צוין כי אין דרך להסיר אותם אלא על ידי התקנה מחדש של ה-Snap. הפונקציונליות הזו כנראה תוכננה, כי יש פונקציה removeNetwork() אבל לא ניתן לקרוא לה משיטות זמינות לציבור.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

הקלות

אנו ממליצים ליישם שיטה זו, כפי שכנראה התכוונה.

חסרה בקשת אישור לייצוא מפתחות פרטיים

תיאור

ברוב הפונקציות הקריטיות ב-snap, מוצגת תיבת דו-שיח, המיידעת את המשתמש על הפעולה המתבצעת ומבקשת את אישורו.

עם זאת, אמצעי בטיחות זה אינו קיים בשיטת WalletExportPrivateKey, זו המשמשת להצגת המפתח הפרטי במסך ההצמדה. אם יופעל בטעות, הוא יציג מיד את המפתח הפרטי.

הקלות

לפני הצגת המפתח הפרטי, הוסף בקשת אישור המבקשת את אישור המשתמש.

שיטות מרובות בלתי מיושמות

תיאור

נראה כי חלק עצום מהשיטות הקיימות ב-Snap נותרו ללא שימוש. רק הלוח המקיף אותם קיים, אבל לא שום היגיון קונקרטי.

הקלות

אנו ממליצים לסקור את השיטות שתרצה ליישם ב-Snap שלך ולוודא שכולן מכילות היגיון ממשי. לא אמור להיות לאפשר למשתמש לקרוא לשיטות מיותרות שאינך מתכוון ליישם.

קוד מיותר

תיאור

במהלך הניתוח שלנו, שמנו לב ששתי שיטות RPC, EthRequestAccounts ו-EthAccounts, עושות את אותו הדבר ומחזירות את אותם ערכים.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

בשני המקרים, שיטות אלו מאחזרות את נתוני הארנק הפעיל באמצעות getWallet() ולאחר מכן מחזירות את הכתובת שלו. נכון לעכשיו, ההבדל היחיד הוא ש-EthAccounts מתעד בעוד EthRequestAccounts לא.

הקלות

שקול להסיר אחת מהשיטות או לשנות אחת כדי להבדיל אותה מהשנייה

שאריות תגובות של TODO

תיאור

בסיס הקוד מכיל מספר הערות TODO וגם קטעים של קוד שהגיב שאינו בשימוש עוד.

למרות שזה מקובל בסביבת בדיקה, יש לבטל את זה בייצור. הערות כאלה עשויות לספק לבעל עניין פוטנציאלי מידע רב ערך על פונקציונליות חסרות, אמצעי אבטחה ומחשבות של מפתחים, שיכול לשמש לפרופיל התקפות.

הקלות

אנו מציעים להסיר הערות המסומנות כ-TODO ושברי קוד שאינם בשימוש בענף הייצור שלך.