Aspectos esenciales de seguridad de Snaps: Guía de seguridad para el desarrollo de MetaMask Snaps

Los nuevos primitivos implican nuevos errores y algunos paradigmas que conviene comprender si se quiere incorporar la seguridad desde el principio. Por suerte, existen guías como las Ethereum Smart Contract Security Best Practices que ofrecen a los desarrolladores una base sólida para hacer sus proyectos lo más seguros posible para los usuarios.

Directrices de seguridad para MetaMask Snaps

Uno de estos nuevos primitivos es MetaMask Snaps, un sistema de código abierto que permite a los usuarios ampliar de forma segura la funcionalidad de MetaMask y ofrece nuevas experiencias de wallet. En esencia, un Snap es un programa JavaScript que opera dentro de MetaMask en un entorno aislado.

MetaMask Snaps trae consigo una variedad de funciones nuevas y emocionantes para tu wallet de MetaMask, lo que inevitablemente introduce mayor complejidad y, por tanto, una mayor superficie de ataque. Anteriormente, presentamos el Modelo de Confianza de MetaMask para un desarrollo de Snaps más seguro y adelantamos las vulnerabilidades más comunes en los Snaps.

Este es el punto de partida para el siguiente paso que damos en la creación de una base de conocimiento sobre todo lo relacionado con la seguridad de los Snaps. Pensando en los desarrolladores y auditores, hemos elaborado los Snap Security Essentials, que explican el Modelo de Confianza de MetaMask, las principales vulnerabilidades, las mejores prácticas y mucho más. Es un recurso integral con todo lo que los desarrolladores y auditores necesitan para crear un espacio Snap seguro.

Está mantenido por Consensys Diligence, con contribuciones de nuestros amigos de la comunidad de Ethereum y de seguridad en general. 💚

Qué puedes esperar de los Snap Security Essentials

• Filosofía general: Entender los Snaps implica entender el Modelo de Confianza de MetaMask. Como se resume en nuestra publicación anterior, ¡los usuarios confían en MetaMask, pero no en la dapp! Dado ese paradigma, existen consecuencias lógicas para la construcción y auditoría segura de Snaps que hemos condensado en directrices de filosofía general.

• Top 10 de vulnerabilidades en Snaps: Realizamos un análisis exhaustivo de los informes de auditoría de todos los Snaps en el Snaps Marketplace hasta octubre de 2023. Clasificamos los problemas e identificamos un claro top 10. Para cada vulnerabilidad, los Essentials te ofrecen una descripción detallada, escenarios de uso indebido y formas de prevenirlos.

• Base de conocimiento: Este es el lugar indicado para profundizar en la construcción y seguridad de los Snaps. Aquí hemos volcado nuestros últimos hallazgos e insights para que tengas todo el alpha de Snap Security en un solo lugar. Es un tesoro de conocimiento en constante crecimiento, ya que invitamos a la comunidad a contribuir y compartir.

• Herramientas experimentales: La seguridad es compleja y requiere tiempo. Pensamos constantemente en formas de facilitar el trabajo a tu ingeniero de seguridad interno y publicamos nuevas herramientas para que las pongas a prueba. Nuestro último experimento es SnipGuardian, diseñado para visualizar las capacidades de un Snap, ofrecer información sobre el código y detectar vulnerabilidades comunes. Esta herramienta es la navaja suiza de la seguridad de los Snaps. Como usuario de Snaps, puede ayudarte a entender el perfil de riesgo de un Snap antes de instalarlo. Como desarrollador, puede ayudarte a identificar errores comunes y vulnerabilidades en tu Snap y a mejorar la robustez de tu código. Como auditor de seguridad de Snaps, puede ayudarte a optimizar tu proceso de auditoría e identificar vulnerabilidades frecuentes.

Seguridad de Snaps para y desde la comunidad

Estamos aquí para apoyarte con auditorías, herramientas e insights. Los Snap Security Essentials se lanzaron en su primera versión y sirven como referencia para todo lo relacionado con la seguridad de los Snaps. Este es un proyecto abierto e invitamos a todos a contribuir. No dudes en enviar un pull request con cualquier cosa, desde pequeñas correcciones hasta secciones completamente nuevas. ¡Esperamos compartir y trabajar juntos con todos vosotros!

Hagamos de los Snaps un espacio seguro. Visita el sitio web de Snaps Essentials o ¡solicita una auditoría hoy!

Martin Ortner (tintinweb)

Valentin Quelquejay

Martin y Valentin, profesionales de seguridad en Consensys Diligence, están a la vanguardia de la investigación de seguridad de Snaps, trabajando con dedicación para mejorar la seguridad de la plataforma.