加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads

Web3 項目安全實踐要求_WEB:HTT

Author:

Time:1900/1/1 0:00:00

前言

慢霧安全團隊開源--?Web3項目安全實踐要求,提供了詳細的實踐要求和建議來幫助Web3項目研發團隊識別和防范這些潛在的安全風險。Web3項目方可以參考本文提供的安全實踐要求,掌握相應的安全技能,提高Web3項目的安全性,以便更好地保護項目和用戶的資產安全。

Web3項目安全實踐要求包含如下的內容:

0x00背景概述

現今針對Web3項目的攻擊手法層出不窮,且項目之間的交互也越發復雜,在各個項目之間的交互經常會引入新的安全問題,而大部分Web3項目研發團隊普遍缺少的一線的安全攻防經驗,并且在進行Web3項目研發的時候重點關注的是項目整體的商業論證以及業務功能的實現,而沒有更多的精力完成安全體系的建設,因此在缺失安全體系的情況下很難保證Web3項目在整個生命周期的安全性。

通常項目方團隊為了確保Web3項目的安全會聘請優秀的區塊鏈安全團隊對其代碼進行安全審計,在進行安全審計的時候,才能夠更好地實現各種安全實踐要求,但是區塊鏈安全團隊的審計僅僅是短期的引導,并不能讓項目方團隊建立屬于自己的安全體系。

因此慢霧安全團隊開源了Web3項目安全實踐要求來持續性幫助區塊鏈生態中的項目方團隊掌握相應的Web3項目的安全技能,希望項目方團隊能夠基于Web3項目安全實踐要求建立和完善屬于自己的安全體系,在審計之后也能具備一定的安全能力。

0x01開發準備

需求分析文檔要求

1.?確保包含項目的詳盡描述

2.?確保包含項目解決的問題

3.?確保包含安全/隱私風險評估

OKX Web3錢包集成Conflux Network:5月11日,據官方消息,OKX Web3錢包已集成Layer1公鏈Conflux Network,用戶可使用OKX Web3錢包切換到Conflux主網,進行鏈上轉賬和體驗Dapp生態。此外,Conflux官網也已收錄OKX Web3錢包、OKX DEX、OKX NFT市場等進入其生態展示頁,供用戶探索和體驗。

據悉,OKX Web3錢包是最全面的異構多鏈錢包,已支持近60條公鏈,App、插件、網頁三端統一,涵蓋錢包、DEX、賺幣、NFT市場、Dapp探索5大板塊。此外,OKX Web3錢包還支持創建MPC錢包、兌換Gas、iCloud/Google Drive備份助記詞、自定義網絡、連接硬件錢包等便捷功能。[2023/5/11 14:57:16]

開發設計文檔要求

1.?確保包含項目的架構設計圖

2.?確保包含代碼中函數的功能描述

3.?確保包含代碼中合約之間的關聯關系描述

4.確保安全/隱私的要求被正確實施

業務流程文檔要求

1.?確保包含項目中每個業務流程的描述

2.?確保包含詳盡的業務流程圖

3.?確保包含詳盡的資金鏈路圖

0x02開發過程

智能合約安全編碼要求

1.確保包含盡可能基于OpenZeppelin等知名library進行開發

2.確保包含使用SafeMath或0.8.x的編譯器來避免絕大部分溢出問題

3.確保遵循函數命名規范,參考:soliditystyleguide

(https://docs.soliditylang.org/en/v0.8.14/style-guide.html)

4.確保函數和變量可見性采用顯性聲明

5.確保函數返回值被顯性賦值

金融科技公司Plaid推出Web3產品Wallet Onboard:金色財經報道,金融科技公司Plaid推出了其首款Web3產品Wallet Onboard。Wallet Onboard旨在為300多個以太坊錢包提供訪問集成,而不是與每個錢包單獨集成。該產品允許用戶在不同的金融科技應用程序中連接他們的金融賬戶。為了保護隱私,Allsopp表示該產品不收集錢包地址。(the block)[2022/10/20 16:32:55]

6.確保函數功能和參數注釋完備

7.確保外部調用正確檢查返回值,包含:transfer,transferFrom,send,call,delegatecall等

8.確保interface的參數類型返回值等實現是正確的

9.確保設置合約關鍵參數時有進行鑒權并使用事件進行記錄

10.確保可升級模型的新的實現合約的數據結構與舊的實現合約的數據結構是兼容的

11.確保代碼中涉及算數運算的邏輯充分考慮到精度問題,避免先除后乘導致可能的精度丟失的問題

12.確保call等lowlevel調用的目標地址和函數是預期內的

13.使用call等lowlevel調用的時候要根據業務需要限制Gas

14.編碼規范進行約束,遵循:先判斷,后寫入變量,再進行外部調用(Checks-Effects-Interactions)

15.確保業務上交互的外部合約是互相兼容的,如:通縮/通脹型代幣,ERC-777,ERC-677,ERC-721等可重入的代幣,參考:重入漏洞案例

(https://medium.com/amber-group/preventing-re-entrancy-attacks-lessons-from-history-c2d96480fac3)

16.確保外部調用充分考慮了重入的風險

17.避免使用大量循環對合約的storage變量進行賦值/讀取

幣安任命新首席技術官與產品總監,助力Web3大規模普及:4月1日消息,幣安宣布任命前微軟企業副總裁Rohit Wad為首席技術官,前Agoda產品副總裁Mayur Kamat為產品總監。Wad和Kamat將共同努力實現Web3技術對普通大眾的可獲得性和可使用性,并推動幣安生態系統內部的創新。

Wad將負責開發可拓展、合規、高速的Web3服務及解決方案,并且為交易平臺打造可持續的安全性、穩定性和流動性,確保大規模普及后能夠符合各地區不斷迭代的監管合規要求。Kamat將全面負責幣安的產品戰略、路線圖、開發等事宜。他將帶領團隊開發能夠推動實現加密資產大規模普及、降低Web3技術使用門檻的產品。[2022/4/1 14:32:13]

18.盡可能避免權限過度集中的問題,特別是修改合約關鍵參數部分的權限,要做權限分離,并盡可能采用治理,timelock合約或多簽合約進行管理

19.合約的繼承關系要保持線性繼承,并確保繼承的合約業務上確實需要

20.避免使用鏈上的區塊數據作為隨機數的種子來源

21.確保隨機數的獲取和使用充分考慮回滾攻擊的可能

22.盡量使用Chainlink的VRF來獲取可靠的隨機數,參考:ChainlinkVRF

(https://docs.chain.link/vrf/v2/introduction)

23.避免使用第三方合約的token數量直接計算LPToken價格,參考:如何正確獲取LP的價

(https://blog.alphaventuredao.io/fair-lp-token-pricing/)

24.通過第三方合約獲取價格的時候避免單一的價格來源,建議采用至少3個價格來源

25.盡可能在關鍵的業務流程中使用事件記錄執行的狀態用于對項目運行時的數據分析

26.預留全局與核心業務緊急暫停的開關,便于發生黑天鵝事件的時候及時止損

世界教育區塊鏈協會(WEBA)于6月16日在新加坡正式啟動:由EduCoin主辦的首期“教育+區塊鏈”智匯論壇于6月16日在新加坡舉行,世界教育區塊鏈協會(World Education Blockchain Association)也在本次活動中正式啟動。WEBA為非營利性的國際組織,由全球區塊鏈平臺企業、區塊鏈服務機構、金融服務機構、教育服務機構、具備條件轉型升級的傳統企業、相關科研院所、高校及有關專家學者等自愿參加的國際性區塊鏈行業組織。匯集區塊鏈及教育界的資深從業者和興趣愛好者,共同探討區塊鏈教育相關問題,以促進世界區塊鏈教育行業可持續發展。

WEBA將定期舉辦論壇、峰會等業界交流活動,定期和不定期舉辦區塊鏈的技術研討和技術培訓課程,促進區塊鏈的技術交流,應用推廣和資源整合,幫助人們理解區塊鏈技術的特性及培養具有未來視野和歷史使命的區塊鏈專業人才,共建全球教育區塊鏈生態。[2018/6/16]

測試用例代碼要求

1.?確保包含業務流程/函數功能可用性測試

2.確保包含單元測試覆蓋率95%以上,核心代碼覆蓋率要達到100%

基礎安全配置要求

1.?確保官方郵箱使用知名服務商,如Gmail

2.確保官方郵箱賬號強制開啟MFA功能

3.確保使用知名域名服務商,如GoDaddy

4.確保域名服務商平臺的賬號開啟MFA安全配置

5.確保使用優秀的CDN服務提供商,如Akamai、Cloudflare

6.確保DNS配置開啟了DNSSec,在域名服務管理平臺上為管理賬號設置強口令并開啟MFA認證

7.確保全員的手機和電腦設備使用殺軟件,如卡巴斯基、AVG等

Web前端安全配置要求

1.?確保全站的HTTP通訊采用HTTPS

2.確保配置了HSTS,以防止中間人攻擊,如:DNShijacking,BGPhijacking,參考:HSTS配置介紹

佛羅里達市場營銷代理商Web Daytona宣布接受加密貨幣支付:美國佛羅里達著名市場營銷代理商Web Daytona近日宣布接受加密貨幣支付,支持BTC、BCH、ETH及LTC四種加密貨幣支付。這是佛羅里達市場營銷代理商首次支持加密貨幣支付。[2018/5/2]

(https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security)

3.確保配置了X-FRAME-OPTIONS,以防止Clickjacking攻擊,參考:X-FRAME-OPTIONS配置介紹

(https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options)

4.確保配置了X-Content-Type-Options,以對抗瀏覽器sniff?為導致的?險,參考:X-Content-Type-Options配置介紹

(https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Content-Type-Options)

5.確保配置了CSP策略,以防止XSS攻擊,參考:CSP內容安全策略介紹

(https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)

6.確保與權限和用戶憑證相關的Cookie配置了HttpOnly,Secure,Expires,SameSite標志,參考:Cookie配置介紹

(https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies)

7.確保不同業務的子域嚴格劃分開,避免子域的XSS問題互相影響

8.確保引用的第三方資源使用了integrity屬性進行限制,避免第三方被黑導致項目方的站點受到影響,參考:SRI配置介紹

(https://developer.mozilla.org/zh-CN/docs/Web/Security/Subresource_Integrity)

9.確保正確配置CORS,僅允許指定origin域,協議和端口訪問項目的資源,參考:CORS配置介紹

(https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS)

10.確保業務中實現的addEventListener/postMessage有檢查消息的origin和target,參考:postMessage安全介紹?

(https://developer.mozilla.org/zh-CN/docs/Web/API/Window/postMessage)

后端環境安全配置要求

1.確保選用優秀的云服務器提供商,如:AWS、Google云等

2.確保項目使用到的云平臺管理賬號使用強口令并開啟MFA認證

3.確保項目代碼部署到服務器前對服務器進行安全加固,如:安裝HIDS,采用SSHKey進行登錄,設置SSH登錄alert,設置SSH登錄google-auth等

4.確保使用專業軟件監控服務、服務器可用性,如APM、Zabbix

5.確保使用專業的機構定期測試項目安全性,如SlowMist、TrailofBits等

0x03發布過程

需要有完備的安全上線發布流程,可以參考如下的內容進行細化:

代碼凍結要求

在預計的上線時間倒推2天,即上線2天前必須凍結代碼不再做任何代碼改動

單元測試要求

1.?確保單元測試覆蓋率95%以上,核心代碼覆蓋率100%

2.確保輸出單元測試的覆蓋率報告

回歸測試要求

在上線1天前執行單元測試并進行回歸測試

測試報告要求

上線前0.5天由開發及測試共同完成測試報告,如果不通過,則推遲上線時間,開發完成修改后重新進入代碼凍結階段

安全審計要求

1.?安全審計人員在代碼凍結后進入整體安全回歸,如發現任一漏洞或安全隱患,則推遲上線時間,開發完成修改后重新進入代碼凍結

2.安全審計需要至少三個團隊進行獨立的審計,可以采用1個內部團隊+?2個外部團隊

0x04運行期間

運行時安全監控

盡可能的通過關鍵業務流程中觸發的事件來發現項目運行時的安全問題,如:

1.合約關鍵權限/參數變更:監控管理角色發生變更的事件,管理角色修改合約關鍵參數的事件,及時發現私鑰可能被盜的情況

2.合約資金變化:監控價格變動及合約資金變動的情況,及時發現可能的閃電貸等攻擊

3.周期性對賬:周期性對鏈上的事件與交易進行對賬,及時發現可能的業務邏輯上的問題

運行環境安全加固

1.確保實施前端代碼所在服務器的安全加固,如:安裝HIDS(https://www.aliyun.com/product/aegis),采用SSHKey?進行登錄,設置SSH登錄alert(https://medium.com/@alessandrocuda/ssh-login-alerts-with-sendmail-and-pam-3ef53aca1381),設置SSH登錄google-auth(https://goteleport.com/blog/ssh-2fa-tutorial/)?等

2.確保DNS配置開啟了DNSSec,在域名服務管理平臺上為管理賬號設置強口令并開啟2次認證

3.確保項目使用到的云平臺管理賬號使用了強口令并開啟了2次認證

發布漏洞賞金計劃

發布漏洞賞金計劃或入駐知名的漏洞賞金平臺,?吸引社區白帽子為項目保駕護航;可以選擇?BugRap?(https://bugrap.io/),?code4rena?(https://code4rena.com/),?immunefi?(https://immunefi.com/)

成立名義應急小組

成立名義應急小組并對外提供聯系方式,由應急小組負責處理白帽子發現的問題或在黑天鵝事件爆發時主導團隊成員進行應急處置

0x05應急處置

完備的應急處置流程

盡可能地制定完備地應急處置流程,有條不紊地根據應急處置流程來處置黑天鵝事件

止損處置要求

1.?根據問題影響的范圍和危害程度,及時通過緊急暫停開關進行止損

2.通知社區成員發生黑天鵝事件,避免用戶繼續與項目進行交互導致虧損

黑客追蹤要求

1.迅速分析黑客的獲利地址,并留存PC/Web/服務器的訪問日志

2.對服務器進行快照,及時保留被黑現場

3.聯系專業的安全團隊協助進行追蹤,如:?MistTrack追蹤分析平臺?(https://misttrack.io/),?Chainalysis?(https://www.chainalysis.com/)

修復問題要求

1.與專業安全團隊討論問題的最佳修復方案

2.正確實施修復方案并請專業的安全團隊進行驗證

安全發布要求

執行發布過程要求,確保一切代碼的變更均有經過測試和安全審計

復盤分析要求

1.?披露驗尸報告并與社區成員同步修復方案及補救措施

2.驗尸報告需要同步問題的本質原因,問題的影響范圍,具體的損失,問題的修復情況,黑客的追蹤等相關進展

總結

安全是動態管理的過程,僅依賴于第三方安全團隊的短期審計并不能真正保障項目長期安全穩定地運行。因此,建立和完善Web3項目的安全體系是至關重要的,項目方團隊自身具備一定的安全能力才能更好的保障Web3項目安全穩定地運行。

除此之外,我們建議項目方團隊還應該積極參與安全社區,學習最新的安全攻防技術和經驗,與其他項目方團隊和安全專家進行交流和合作,共同提高整個生態的安全性。同時,加強內部安全培訓和知識普及,提高全員的安全意識和能力,也是建立和完善安全體系的重要步驟。

最后,Web3項目安全實踐要求目前屬于v0.1版本,并且還在持續的完善,如果你有更好的建議,歡迎提交反饋。

Tags:WEBHTTWEB3TPSweb3域名值錢嗎HTT價格web3域名怎么使用tps幣行情

以太坊交易
金色觀察 | 詳解美國財政部的DeFi風險評估報告_EFI:區塊鏈

文/?TRMInsights,譯/金色財經xiaozou近日,美國財政部發布了《去中心化金融非法金融風險評估》.

1900/1/1 0:00:00
OpenAI官方解讀ChatGPT插件:語言模型的“眼睛和耳朵”_CHA:HAT

作者:OpenAI官方;翻譯:金色財經&ChatGPT根據我們的迭代部署理念,我們正在逐步推出ChatGPT插件.

1900/1/1 0:00:00
詳解最近獲 5000 萬美元融資的 EigenLayer:通過「再質押」擴展以太坊信任層_GEN:PlayerCoin

原文作者|100y,A41Alforone 編譯整理|白澤研究院 上周,EigenLayer宣布獲得5000萬美元融資,由BlockchainCapital領投.

1900/1/1 0:00:00
一文尋找Vitalik所說的“專用型”Layer 3及其用例_LAYER:ARKS幣

2023?年開年,Layer?2?熱度在久經準備后居高不下,已有人將?2023?年稱為“Layer?2?”之年.

1900/1/1 0:00:00
以太坊 Layer2 強勢落地 留給Aptos、Sui等新公鏈的時間不多了?_APT:LAYER

作者:大圣Web3 3月份,隨著龍頭Layer2協議Arbitrum治理ToKen發行和發放掀起社區狂歡,同時相關Layer2生態持續爆火.

1900/1/1 0:00:00
諸神覺醒:網絡國家和TSI的興起_TAL:Shrimp Capital

原文作者:Jingyi,云起方達創始人、LDCapitalAdvisor“勇敢些,把神的意思釋告我們,不管你知道什么.

1900/1/1 0:00:00
ads