@mean · 3 gün önce
Merkeziyetsiz uygulamada önyüz güvenliği: DNS ele geçirme ve sahte onay ekranlarına karşı aldığımız önlemler
Web3 güvenliği konuşulurken herkes akıllı sözleşme denetimini konuşuyor. Haklılar da, ama son birkaç yılda kullanıcıların parasını kaybettiği olayların ciddi bir kısmı sözleşmeden değil önyüzden geldi. Sözleşme kusursuz olabilir; kullanıcı sitenize girdiğinde karşısına çıkan sayfa sizin sayfanız değilse bunun bir önemi kalmıyor. Bir projede güvenlik tarafında çalışırken aldığımız önlemleri anlatayım.
Birinci risk alan adı ve DNS. Alan adı kayıt firmasındaki hesap ele geçirilirse saldırgan DNS kayıtlarını değiştirip kullanıcıları kendi sunucusuna yönlendirebiliyor. Sayfa birebir aynı görünüyor, tek fark kullanıcıdan imzalattığı işlem. Bunun için kayıt firmasında donanım anahtarıyla iki aşamalı doğrulama zorunlu, alan adı kilidi açık, DNS değişikliklerinde anlık bildirim geliyor. Kayıt firması hesabının şifresi ekipte iki kişide var, o kadar.
İkinci risk bağımlılıklar. Önyüzde kullanılan bir JavaScript kütüphanesinin yeni sürümüne zararlı kod eklenirse, sizin sitenizden imza isteyen kod değişmiş oluyor. Bağımlılıkları sabit sürüme kilitliyoruz, yeni sürümleri birkaç gün bekletip inceliyoruz, dış kaynaktan yüklenen betiklerde bütünlük kontrolü kullanıyoruz.
Üçüncü risk kullanıcının ne imzaladığını anlamaması. Sınırsız harcama izni isteyen onay ekranları en sevdiğim örnek. Biz kullanıcıdan yalnızca o işlem için gereken tutar kadar izin istiyoruz, cüzdanın gösterdiği imza metnini de okunur hâle getirmeye çalışıyoruz. Kullanıcının anlamadığı bir şeyi imzalamaya alışması, saldırganın en büyük kozu.
Dördüncüsü yayın süreci. Önyüzün yeni sürümü canlıya çıkarken iki kişinin onayı gerekiyor, yayınlanan dosyaların özetini kayıt altına alıyoruz. Bir şey değişmişse fark ediliyor.
Bunların hiçbiri çok gelişmiş teknik değil. Çoğu klasik web güvenliği. Web3 projelerinde bu tarafın ihmal edilmesinin sebebi bence ekiplerin bütçeyi ve dikkati tamamen sözleşme denetimine ayırması. Sizin projelerinizde önyüz güvenliğine kim bakıyor, ayrı bir süreç var mı?
Birinci risk alan adı ve DNS. Alan adı kayıt firmasındaki hesap ele geçirilirse saldırgan DNS kayıtlarını değiştirip kullanıcıları kendi sunucusuna yönlendirebiliyor. Sayfa birebir aynı görünüyor, tek fark kullanıcıdan imzalattığı işlem. Bunun için kayıt firmasında donanım anahtarıyla iki aşamalı doğrulama zorunlu, alan adı kilidi açık, DNS değişikliklerinde anlık bildirim geliyor. Kayıt firması hesabının şifresi ekipte iki kişide var, o kadar.
İkinci risk bağımlılıklar. Önyüzde kullanılan bir JavaScript kütüphanesinin yeni sürümüne zararlı kod eklenirse, sizin sitenizden imza isteyen kod değişmiş oluyor. Bağımlılıkları sabit sürüme kilitliyoruz, yeni sürümleri birkaç gün bekletip inceliyoruz, dış kaynaktan yüklenen betiklerde bütünlük kontrolü kullanıyoruz.
Üçüncü risk kullanıcının ne imzaladığını anlamaması. Sınırsız harcama izni isteyen onay ekranları en sevdiğim örnek. Biz kullanıcıdan yalnızca o işlem için gereken tutar kadar izin istiyoruz, cüzdanın gösterdiği imza metnini de okunur hâle getirmeye çalışıyoruz. Kullanıcının anlamadığı bir şeyi imzalamaya alışması, saldırganın en büyük kozu.
Dördüncüsü yayın süreci. Önyüzün yeni sürümü canlıya çıkarken iki kişinin onayı gerekiyor, yayınlanan dosyaların özetini kayıt altına alıyoruz. Bir şey değişmişse fark ediliyor.
Bunların hiçbiri çok gelişmiş teknik değil. Çoğu klasik web güvenliği. Web3 projelerinde bu tarafın ihmal edilmesinin sebebi bence ekiplerin bütçeyi ve dikkati tamamen sözleşme denetimine ayırması. Sizin projelerinizde önyüz güvenliğine kim bakıyor, ayrı bir süreç var mı?
4 3 yorum
