hoe ethereum programme verdien 'n sekuriteit klassifikasies
meer as 1 2 miljoen ethereum programme het gebruik 'n min bekend sekuriteit instrument te hulp hulle vermy die costly errors arising uit self executing lyne van kode bekend soos smart kontrakte
launched deur ethereum tegnologie startup amberdata terug in oktober die vry instrument is beskikbaar vir iemand in die algemene publiek te interpret die sekuriteit van aktiewe programme op die ethereum blockchain smart kontrakte met foute wat het is exploited het gelei te groot verliese selfs te die tune van honderde van miljoene
die automated diens scans vir gemeenskaplike vulnerabilities gevind in smart kontrak kode en generates 'n brief graad gradering e g 'n b of c vir die sekuriteit van 'n decentralized aansoek dapp
die "maak is 'n van die baie gereedskap moedig die beste praktyk en verhoog transparency tussen dapp developers en einde users in die ethereum ecosystem
wat s meer dit s 'n "maak wat het is rondom in die broader web ruimte vir baie sommige tyd privaatheid minded browser duckduckgo het onlangs launched 'n chrome browser uitbreiding gebruik te koers websites nie dapps met 'n brief graad gee users 'n maklik insig in hoe goed of poorly diens administrators te beskerm user privaatheid
ons visie is te verhoog die standaard van vertrou aanlyn skryf duckduckgo in 'n blog boodskap uit januarie 2017
similarly die visie agter amberdata s sekuriteit grading instrument soos highlighted deur amberdata hoof uitvoerende beampte shawn douglass in 'n pers vry is te voorsiening te maak 'n groter toegang tot en enhanced visibility in smart kontrakte
ons hoop wat deur voorsien hierdie gereedskap te die gemeenskap ons kan verminder buite dependencies en enable die gemeenskap te ontwikkel vinniger en meer veilig
maar hoe presies is hierdie programme op ethereum gegradeerde op amberdata
wys te 13 tipes van vulnerabilities scanned vir outomaties deur die program amberdata cto joanes espanol likened elke van hierdie te motor lig op 'n motor dashboard
dit net beteken wat ek nodig te tjek wat s gaan op met die motor 'n van hierdie kan resultaat in sekuriteit fout verduidelik espanol te
en die meer sekuriteit errors wat is detected deur amberdata s sekuriteit skandeer die laer die alphabet brief graad 'n dapp sal ontvang hierdie klassifikasies reeks uit 'n 'n al die manier te 'n f
maar hulle don t streng hang af op die aantal van sekuriteit errors elke van die 13 vulnerabilities het varying grade van severity espanol verduidelik wat sal impak 'n dapp s finale graad twee gemeenskaplike laag severity vulnerabilities gemerk deur espanol insluit delegate roep te 'n user supplied adres en boodskap roep te external kontrak
die latter kan inhou 'n potensiaal sekuriteit risiko indien 'n dapp eerder as word self vervat in 'n smart kontrak roep bykomende kontrakte possessing buggy kode
similarly 'n delegate roep is 'n ander werking wat is normaalweg gebruik te verdeel smart kontrak kode in verskeie sub kontrakte sodat wat 'n nodig upgrades te die sagteware kan wees gemaak piecemeal sonder terminating die hele aansoek
wat s die goeie deel van wat delegate roep maar die slegte deel is wat nou soos 'n eienaar van die kontrak ek kon begin doen slegte dinge sodat ek kon begin replacing kontrakte wat verandering die gedrag van die oorspronklike aansoek verduidelik espanol
soos so 'n op beide tel espanol beskryf die sekuriteit audit soos stuur uit warnings eerder as wys uit onmiddellike kode errors
inderdaad 'n so 'n dapp tans leveraging boodskap roep en formerly gesien deployed 'n smart kontrak upgrade gebruik delegate roep terug in januarie is trueusd geskep deur blockchain startup trusttoken die usd gerugsteun stablecoin op ethereum is tans ranked met 'n c brief graad
terwyl wat doesn t klank goeie op soek op die vulnerabilities flagged vir trueusd trusttoken sekuriteit ingenieur william morriss vertel in 'n voormalige onderhoud al geïdentifiseer betref was eintlik nie kritiese
die vulnerabilities wat is word gerapporteer is nie maniere in wat ons kan wees aangeval ons is bewus van hulle en toe mense bring vulnerabilities te ons ons hanteer hulle baie ernstig gesê: morriss
elaborating op die saak van boodskap roep spesifiek morriss bygevoeg wat vir trueusd al external kontrakte is besit en operated deur die maatskappye self soos gekant teen te derde partye met potensieel laer sekuriteit standaarde
hoe te kry 'n 'n
errors van 'n hoë severity sal getref die aansoek s sekuriteit gradering harder omdat hulle dui 'n 'n groter potensiaal vir kode fout en exploit
'n van die die meeste gemeenskaplike van hierdie integer overflow dui aan bedrywighede uitgevoer uit binne 'n smart kontrak kon generate waardes exceeding kode beperkinge toonaangewende te gek onvoorspelbaar gedrag wat in die erger geval kon lei te verlies van fondse
die flipside is integer underflow 'n ander vulnerability van 'n hoë severity deur wat die bladsy omgekeerde kan gebeur en 'n waarde hieronder die defined reeks similarly oorsake erroneous output
daar is ook sommige funksies in solidity wat dapp developers moet net vermy volgens te amberdata s grading stelsel insluitende selfmoord en tx oorsprong die latter is beskryf deur espanol soos deprecated kode wat kan wees verwyder uit die solidity taal geheel en al op 'n toekoms datum terwyl die voormalige poses risiko van word hijacked deur buite partye te vries user fondse wat hulle kan nooit kry terug
sedert dit doesn t het 'n van hierdie vier vulnerabilities die infamously gewilde ethereum dapp cryptokitties tans het 'n 'n sekuriteit gradering op amberdata cryptokitties sagteware ingenieur fabiano soriani attributes hierdie te implementing soos baie toetse soos ons kan
toe te voeg wat passiewe hulpbronne so 'n soos geskryf documentation en video tutorials op dapp ontwikkeling is nie genoeg te bou veilige programme op ethereum soriani vertel
toe iemand loop 'n audit hulle punt uit dinge vir jy dit s 'n baie goeie complementary resource te passiewe hulpbronne omdat developers kom uit 'n meer tradisionele agtergrond aren t ken met blockchain
dit s 'n nuwe stel van probleme
inderdaad toe dit kom te gebou dapps die belang van airtight impenetrable kode kan nie wees understated die kern reasoning vir hierdie is twee vou
eerste in teenstelling met tradisionele programme dapps is oor die algemeen oop bron rekenaar programme en soos morriss verduidelik 'n heightened vlak van versigtig is vereis toe loop kode wat is publiek
indien daar s 'n fout in 'n tradisionele aansoek jy kan wees in staat te kry weg met dit vir 'n aantal jaar maar indien jy het 'n fout in jou smart kontrak mense is gaan te vind dit eerder vinnig en neem voordeel van dit óf te jou vernietiging of te hul voordeel gesê: morriss
tweedens dapps op ethereum loop exclusively op smart kontrakte specially coded in ontwikkeling taal solidity en uitgevoer in die blockchain s senuwee sentrum genoem die ethereum virtual masjien evm 'n sleutel sterkte van dapps is wat hulle kan t wees verander
die downside te hierdie is voor die hand liggend programmers is nie maklik in staat te korrek is errors of foute in die sagteware keer deployed op die blockchain
roeping dit 'n grievous fout te slaan 'n derde party sekuriteit audit of skandeer vir hierdie redes morriss vertel dit was belangrik vir developers nie te geword slagoffers van hul eie hubris en te verseker wat toetse is wat elke tak van jou kode
met ethereum dit s 'n nuwe stel van probleme wat mense aren t bewus van toe coding in solidity beklemtoon espanol te
ontwikkeling beeld via