Metamask Snap Audit Report для Sei

Резюме управління

Sei зв’язався з Sayfer Security, щоб провести тестування на проникнення MetaMask Snap від Sei у січні 2024 року.

Перш ніж оцінити вищевказані послуги, ми провели стартову нараду з технічною командою Sei і отримали огляд системи та цілей цього дослідження.

За 2 тижні дослідження ми виявили 3 уразливості в системі.

Підсумовуючи, слід зазначити, що після звіту слід внести кілька виправлень, але стан безпеки системи є компетентним.

Після перевірки командою Sayfer ми засвідчуємо, що всі проблеми безпеки, згадані в цьому звіті, були розглянуті командою Sei.

Методологія ризиків

У Sayfer ми прагнемо надавати нашим клієнтам найвищу якість тестування на проникнення. Ось чому ми запровадили комплексну модель оцінки ризиків, щоб оцінити серйозність наших висновків і надати нашим клієнтам найкращі рекомендації щодо пом’якшення.

Наша модель оцінки ризиків базується на двох ключових факторах: ВПЛИВ та ЙМОВІРНІСТЬ. Вплив означає потенційну шкоду, яку може спричинити проблема, наприклад фінансові втрати, репутаційні збитки або непрацююча система. Ймовірність стосується ймовірності виникнення проблеми з урахуванням таких факторів, як складність атаки та кількість потенційних зловмисників.

Об’єднавши ці два фактори, ми можемо створити всебічне розуміння ризику, пов’язаного з певною проблемою, і надати нашим клієнтам чітку та практичну оцінку серйозності проблеми. Такий підхід дозволяє нам визначити пріоритетність наших рекомендацій і гарантувати, що наші клієнти отримають найкращі можливі поради щодо захисту свого бізнесу.

Ризик визначається таким чином:

Методологія оцінки безпеки

Сейфер використовує OWASP WSTG як наш технічний стандарт під час перевірки веб-додатків. Отримавши повне розуміння системи, ми вирішили, які тести OWASP потрібні для оцінки системи.

Оцінка безпеки

Після розуміння та визначення обсягу, виконання моделювання загроз та оцінки правильних тестів, необхідних для повної перевірки програми на наявність недоліків безпеки, ми виконали нашу оцінку безпеки.

Опис таблиці проблем

Назва випуску

Опис

Тут ми надаємо короткий опис проблеми та її виникнення, кроки, які ми вжили для її пошуку чи використання, разом із доказом концепції (якщо є) і як ця проблема може вплинути на продукт або його користувачів.

Пом'якшення

Запропоновані варіанти вирішення цієї проблеми та посилання на рекомендовані сайти для подальшого усунення.

Результати оцінки безпеки

[L] Функції повертаються у разі невдачі без повідомлення про помилку

Опис

При дзвінку на signDirect та signAmino обробники, якщо account or account.privateKey не існують, програма завершує роботу, не повертаючи повідомлення про помилку. Хоча це не становить загрози з точки зору безпеки, користувач не отримає жодного корисного відгуку, що пояснює, чому знімок не вдалося.

• src/api.ts:30, 65

if (!account?.privateKey) return;

Пом'якшення

Коли програма виходить з ладу, вона повинна завжди повертати повідомлення про помилку та відображати його користувачеві.

[I] Невикористана функція

Опис

Команда getWallet функція в snapWallet.ts не викликається жодним обробником RPC, визначеним у знімку. Крім того, ідентична функція з таким самим вмістом уже існує в базовому пакеті.

Пом'якшення

Існування цього дублюваного методу, здається, не виконує жодних функцій. Його можна безпечно видалити.

[I] Відсутня документація

Опис

Схоже, що знімок не має будь-якої форми технічної документації, що пояснює окремі методи RPC, їх застосування або функціональні вимоги, яким повинен відповідати код. Хорошою практикою є наявність опису кожної точки входу, яка надається користувачам для використання.

Пом'якшення

Ми пропонуємо створити технічну документацію із зазначенням опису кожного RPC-обробника, а також описом методів спілкування з ними з рівня dApp.