Отчет Metamask Snap Audit для Sei

Резюме управления

Сей связался с Sayfer Security, чтобы провести тестирование на проникновение в MetaMask Snap от Sei в январе 2024 года.

Прежде чем оценить вышеуказанные услуги, мы провели стартовую встречу с технической командой Sei и получили обзор системы и целей этого исследования.

За период исследования в 2 недели мы обнаружили 3 уязвимости в системе.

В заключение следует отметить, что после отчета необходимо внести несколько исправлений, но уровень безопасности системы является компетентным.

После проверки командой Sayfer мы подтверждаем, что все проблемы безопасности, упомянутые в этом отчете, были решены командой Sei.

Методология риска

В Sayfer мы стремимся предоставлять нашим клиентам тестирование на проникновение высочайшего качества. Вот почему мы внедрили комплексную модель оценки рисков, чтобы оценить серьезность наших выводов и предоставить нашим клиентам наилучшие рекомендации по их снижению.

Наша модель оценки рисков основана на двух ключевых факторах: ВЛИЯНИЕ и ВЕРОЯТНОСТЬ. Под воздействием понимается потенциальный вред, который может возникнуть в результате проблемы, например финансовые потери, репутационный ущерб или неработоспособность системы. Вероятность означает вероятность возникновения проблемы с учетом таких факторов, как сложность атаки и количество потенциальных злоумышленников.

Объединив эти два фактора, мы можем получить полное представление о риске, связанном с конкретной проблемой, и предоставить нашим клиентам четкую и действенную оценку серьезности проблемы. Такой подход позволяет нам расставлять приоритеты в наших рекомендациях и гарантировать, что наши клиенты получат наилучшие советы о том, как защитить свой бизнес.

Риск определяется следующим образом:

Методология оценки безопасности

Сайфер использует ОВАСП ВСТГ в качестве нашего технического стандарта при рассмотрении веб-приложений. Получив полное представление о системе, мы решили, какие тесты OWASP необходимы для ее оценки.

Оценка безопасности

После понимания и определения области применения, выполнения моделирования угроз и оценки правильных тестов, необходимых для полной проверки приложения на наличие недостатков безопасности, мы провели оценку безопасности.

Описание таблицы проблем

Название проблемы

Описание

Здесь мы даем краткое описание проблемы и того, как она возникла, шаги, которые мы предприняли для ее обнаружения или использования, а также доказательство концепции (если таковое имеется), а также то, как эта проблема может повлиять на продукт или его пользователей.

риска

Предлагаемые варианты решения этой проблемы и ссылки на рекомендованные сайты для дальнейшего устранения.

Результаты оценки безопасности

[L] Функции возвращаются в случае сбоя, не выдавая ошибку.

Описание

При вызове signDirect и signAmino обработчики, если account or account.privateKey не существуют, программа завершает работу, не возвращая сообщение об ошибке. Хотя это не представляет угрозы с точки зрения безопасности, пользователь не получит никакой полезной обратной связи, объясняющей, почему привязка не удалась.

• источник/api.ts:30, 65

if (!account?.privateKey) return;

риска

В случае сбоя программы она всегда должна возвращать сообщение об ошибке и отображать его пользователю.

[I] Неиспользуемая функция

Описание

Ассоциация getWallet функции в snapWallet.ts не вызывается никаким обработчиком RPC, определенным в привязке. Кроме того, идентичная функция с тем же содержимым уже существует в базовом пакете.

риска

Существование этого дублированного метода, похоже, не несет никакой функциональности. Его можно безопасно удалить.

[I] Отсутствующая документация

Описание

Snap, похоже, не имеет какой-либо технической документации, объясняющей отдельные методы RPC, их применение или функциональные требования, которым должен соответствовать код. Хорошей практикой является наличие описания каждой точки входа, доступной для использования пользователями.

риска

Мы предлагаем создать техническую документацию с указанием описания каждого обработчика RPC, а также описывать методы взаимодействия с ними на уровне dApp.