Отчет Metamask Snap Audit для Qtum

Резюме управления

Компания Qtum связалась с Sayfer Security для проведения тестирования на проникновение в MetaMask Snap от Qtum в 05/2024 г.

Прежде чем оценить вышеуказанные услуги, мы провели стартовую встречу с технической командой Qtum и получили обзор системы и целей этого исследования.

За период исследования в 2 недели мы обнаружили 5 уязвимостей в системе, ни одна из них не является критической.

В заключение следует отметить, что после отчета необходимо внести несколько исправлений, но уровень безопасности системы является компетентным.

После проверки командой Sayfer мы подтверждаем, что все проблемы безопасности, упомянутые в этом отчете, были решены командой Qtum.

Методология риска

В Sayfer мы стремимся предоставлять нашим клиентам тестирование на проникновение высочайшего качества. Вот почему мы внедрили комплексную модель оценки рисков, чтобы оценить серьезность наших выводов и предоставить нашим клиентам наилучшие рекомендации по их снижению.

Наша модель оценки рисков основана на двух ключевых факторах: ВЛИЯНИЕ и ВЕРОЯТНОСТЬ. Под воздействием понимается потенциальный вред, который может возникнуть в результате проблемы, например финансовые потери, репутационный ущерб или неработоспособность системы. Вероятность означает вероятность возникновения проблемы с учетом таких факторов, как сложность атаки и количество потенциальных злоумышленников.

Объединив эти два фактора, мы можем получить полное представление о риске, связанном с конкретной проблемой, и предоставить нашим клиентам четкую и действенную оценку серьезности проблемы. Такой подход позволяет нам расставлять приоритеты в наших рекомендациях и гарантировать, что наши клиенты получат наилучшие советы о том, как защитить свой бизнес.

Риск определяется следующим образом:

Методология оценки безопасности

Сайфер использует ОВАСП ВСТГ в качестве нашего технического стандарта при рассмотрении веб-приложений. Получив полное представление о системе, мы решили, какие тесты OWASP необходимы для ее оценки.

Оценка безопасности

После понимания и определения области применения, выполнения моделирования угроз и оценки правильных тестов, необходимых для полной проверки приложения на наличие недостатков безопасности, мы провели оценку безопасности.

Описание таблицы проблем

Название проблемы

Описание

Здесь мы даем краткое описание проблемы и того, как она возникла, шаги, которые мы предприняли для ее обнаружения или использования, а также доказательство концепции (если таковое имеется), а также то, как эта проблема может повлиять на продукт или его пользователей.

риска

Предлагаемые варианты решения этой проблемы и ссылки на рекомендованные сайты для дальнейшего устранения.

Результаты оценки безопасности

Нет способа удалить добавленные сети

Описание

В коде реализована возможность добавления дополнительных сетей, расширяя их список за пределы списка по умолчанию. Однако было отмечено, что удалить их невозможно, кроме как переустановкой оснапа. Вероятно, эта функциональность была запланирована, поскольку функция RemoveNetwork() есть, но вызвать ее из общедоступных методов невозможно.

export const networks = {
    get: getNetworks,
    setCurrent: setCurrentNetwork,
    add: addNetwork,
    remove: removeNetwork,
};

риска

Мы рекомендуем реализовать этот метод, как, вероятно, и было задумано.

Отсутствует запрос подтверждения экспорта закрытых ключей

Описание

В большинстве критичных функций в снапе отображается диалоговое окно, которое информирует пользователя о выполняемом действии и запрашивает его одобрение.

Однако эта мера безопасности отсутствует в методе WalletExportPrivateKey, который используется для отображения закрытого ключа на экране привязки. В случае ошибочного вызова он немедленно отобразит закрытый ключ.

риска

Прежде чем отображать закрытый ключ, добавьте запрос подтверждения с запросом одобрения пользователя.

Несколько нереализованных методов

Описание

Огромная часть методов, присутствующих в снапе, по-видимому, осталась неиспользованной. Существует только окружающий их шаблон, но нет какой-либо конкретной логики.

риска

Мы рекомендуем просмотреть методы, которые вы хотели бы реализовать в своей оснастке, и убедиться, что все они содержат реальную логику. Пользователь не должен иметь возможности вызывать ненужные методы, которые вы не собираетесь реализовывать.

Дублирующий код

Описание

В ходе анализа мы заметили, что два метода RPC, EthRequestAccounts и EthAccounts, похоже, делают одно и то же и возвращают одни и те же значения.

case RPCMethods.EthRequestAccounts: {
    const wallet = await getWallet();
    return [wallet.address];
}
case RPCMethods.EthAccounts: {
    console.log('RPCMethods.EthAccounts');
    console.log('request.params', JSON.stringify(request.params));
    const wallet = await getWallet();
    return [wallet.address];
}

В обоих случаях эти методы извлекают данные активного кошелька с помощью getWallet(), а затем возвращают его адрес. В настоящее время единственная разница заключается в том, что EthAccounts регистрируется, а EthRequestAccounts — нет.

риска

Рассмотрите возможность удаления одного из методов или изменения одного, чтобы отличить его от другого.

Оставшиеся комментарии TODO

Описание

База кода содержит несколько комментариев TODO, а также разделы закомментированного кода, который больше не используется.

Хотя это приемлемо в тестовой среде, в производственной среде от этого следует отказаться. Такие комментарии могут предоставить потенциальному заинтересованному лицу ценную информацию об отсутствующих функциях, мерах безопасности и мыслях разработчиков, которые можно использовать для профилирования атак.

риска

Мы предлагаем удалить комментарии, помеченные как TODO, и неиспользуемые фрагменты кода в вашей производственной ветке.