MetaMask Snap Audit Report для Polkadot

Резюме управління

У серпні 2023 року Polkadot зв’язався з компанією Sayfer Security, щоб провести перевірку безпеки програми Polkadot Metamask Snap.

Перед оцінкою вищевказаних послуг ми провели стартову нараду з технічною командою та отримали огляд системи та цілей цього дослідження.

Протягом 2 тижнів дослідження ми виявили 5 вразливостей у кодовій базі знімка.

Підсумовуючи, слід зазначити, що після звіту слід внести кілька виправлень, але стан безпеки системи є компетентним.

Методологія ризиків

У Sayfer ми прагнемо надавати нашим клієнтам найвищу якість тестування на проникнення. Ось чому ми запровадили комплексну модель оцінки ризиків, щоб оцінити серйозність наших висновків і надати нашим клієнтам найкращі рекомендації щодо пом’якшення.

Наша модель оцінки ризиків базується на двох ключових факторах: ВПЛИВ та ЙМОВІРНІСТЬ. Вплив означає потенційну шкоду, яку може спричинити проблема, наприклад фінансові втрати, репутаційні збитки або непрацююча система. Ймовірність стосується ймовірності виникнення проблеми з урахуванням таких факторів, як складність атаки та кількість потенційних зловмисників.

Об’єднавши ці два фактори, ми можемо створити всебічне розуміння ризику, пов’язаного з певною проблемою, і надати нашим клієнтам чітку та практичну оцінку серйозності проблеми. Такий підхід дозволяє нам визначити пріоритетність наших рекомендацій і гарантувати, що наші клієнти отримають найкращі можливі поради щодо захисту свого бізнесу.

Ризик визначається таким чином:

Методологія оцінки безпеки

Сейфер використовує OWASP WSTG як наш технічний стандарт під час перевірки веб-додатків. Отримавши повне розуміння системи, ми вирішили, які тести OWASP потрібні для оцінки системи.

Оцінка безпеки

Після розуміння та визначення обсягу, виконання моделювання загроз та оцінки правильних тестів, необхідних для повної перевірки програми на наявність недоліків безпеки, ми виконали нашу оцінку безпеки.

Опис таблиці проблем

Назва випуску

Опис

Тут ми надаємо короткий опис проблеми та її виникнення, кроки, які ми вжили для її пошуку чи використання, разом із доказом концепції (якщо є) і як ця проблема може вплинути на продукт або його користувачів.

Пом'якшення

Запропоновані варіанти вирішення цієї проблеми та посилання на рекомендовані сайти для подальшого усунення.

Результати оцінки безпеки

URL-адреси RPC визначаються як wsRpcUrl під час використання HTTP

Опис

URL-адреси RPC окремих протоколів були змінені в останній версії знімка. HTTP (http://) використовується замість WebSocket (wss://).

Це несподівано, тому що офіційна документація Polkadot вказує лише адреси веб-сокетів у своїх ресурсах. Крім того, у багатьох місцях коду імена змінних все ще містять префікс ws, наприклад wsRpcurl.

predefined.ts:

wsRpcUrl: 'https: /

wsRpcUrl: 'https: /kusama-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /westend-rpc.polkadot.io/'
{...}
wsRpcUrl: 'https: /rpc.polkadot.io/'

Пом'якшення

Переконайтеся, що передбачається використовувати протокол HTTP. Якщо так, змініть офіційну документацію, щоб відобразити це, і змініть відповідні назви змінних.

конформації для ключових функцій не обробляються у разі відхилення

Опис

Для ключових функцій Snap (таких як відображення закритого ключа або підписання повідомлення) для користувача відображаються діалогові вікна, щоб підтвердити, чи він знає, що він приймає. Якщо користувач підтверджує транзакцію, вона виконується. І навпаки, коли користувач відхиляє транзакцію, не обробляється взагалі.

exportSeed(SnapsGlobalObject), зауважте, що блоку else немає

if (confirmation) {
    const bip44Node = (await snap.request({
    method: "snap_getBip44Entropy",
    params: { coinType: kusamaCoinType },
})) as JsonBIP44CoinTypeNode;

signPayloadJSON(SnapsGlobalObject, ApiPromise, SignerPayloadJSON)

if (confirmation) {
    const extrinsic = api.registry.createType('ExtrinsicPayload', payload, { version: payload.version });
    return extrinsic.sign(keyPair);
}

signPayloadRaw(SnapsGlobalObject, ApiPromise, SignerPayloadRaw)

if (confirmation) {
    const signedBytes = keyPair.sign(hexToU8a(payload.data));
    return {
    signature: u8aToHex(signedBytes)
};

На жаль, оскільки автоматизовані тести не спрацювали, ми не змогли остаточно перевірити та підтвердити цей сценарій.

Пом'якшення

Обробляти ще випадку, коли користувач відхиляє транзакцію, у цьому випадку має відображатися відповідна помилка.

Немає діалогового вікна підтвердження під час надсилання

Опис

Під час підписання повідомлень або відображення закритого ключа знімок відображає діалогове вікно із запитом користувача, чи впевнений він, що хоче продовжити. Однак під час надсилання таке діалогове вікно підтвердження не відображається.

Пом'якшення

Реалізуйте діалогове вікно з запитом у користувача підтвердити транзакцію.

увімкнути PolkadotSnap Повертає помилку під час використання параметра за замовчуванням ім'я мережі

Опис

Було помічено, що незважаючи на вибір Westend як мережі за замовчуванням у snap/src/configuration/predefined.ts, якщо адаптер виконує свою єдину відкриту функцію enablePolkadotSnap(), не вказуючи config.networkName, буде повернено помилку.

Це суперечить припущенням Snap, описаним серед інших у файлі README.md адаптера, який вказує на те, що вказівка ​​конфігурації замінить конфігурацію за замовчуванням.

packages/snap/src/configuration/predefined.ts; рядки 13-22, 35

export const westendConfiguration: SnapConfig = {
    addressPrefix: 42,
    networkName: "westend",
    unit: {
        decimals: 12,
        image: "https: /svgshare.com/i/L2d.svg",
        symbol: "WND",
    },
    wsRpcUrl: "wss: /westend-rpc.polkadot.io/",
};
[ .]
export const defaultConfiguration: SnapConfig = westendConfiguration;

packages/snap/src/configuration/predefined.ts; рядки 27-29

if (!config.networkName) {
throw new Error("Configuration must at least define network type");
}

Пом'якшення

Судячи з документації та з коду в попередньо визначені.ц, ця помилка не повинна повертатися, і слід використовувати Westend. І навпаки, Westend не слід встановлювати за замовчуванням, і в документацію слід вносити зміни, щоб відобразити це.

Неробоча демонстрація

Опис

Відповідно до документації командування yarn install & yarn run demo should run a working demo Snap, що дозволяє встановити його та використовувати різні функції. На жаль, під час інсталяції консоль браузера видала помилку. Таким чином, перевірити Snap як «живий організм» було неможливо}

Пом'якшення

Ми пропонуємо привести Snap у придатний для використання стан, а потім провести поглиблені тести на реальних транзакціях у мережі Polkadot.