Snapsセキュリティの基本：MetaMask Snaps開発のセキュリティガイド

新しいプリミティブは新たなバグをもたらし、セキュリティを組み込むためにはいくつかのパラダイムを理解する必要があります。ありがたいことに、Ethereum Smart Contract Security Best Practicesのようなガイドラインがあり、開発者がユーザーにとってできる限り安全なプロジェクトを構築するための確かな理解を提供しています。

MetaMask Snapsのセキュリティガイドライン

そのような新しいプリミティブの一つがMetaMask Snapsです。これはオープンソースのシステムで、ユーザーがMetaMaskの機能を安全に拡張し、新しいウォレット体験を提供することを可能にします。その核心において、SnapはMetaMask内の隔離された環境で動作するJavaScriptプログラムです。

MetaMask Snapsにより、MetaMaskウォレットにさまざまな新しくエキサイティングな機能がもたらされますが、それは必然的に複雑さを増し、攻撃対象領域を広げることになります。以前、私たちはより安全なSnap開発のためのMetaMask Trust Modelを紹介し、Snapsにおける一般的な脆弱性についても触れました。

これは、Snapセキュリティに関するあらゆる知識ベースを構築するための次のステップへの基盤となります。ビルダーと監査者を念頭に置き、私たちはSnap Security Essentialsをまとめました。これはMetaMask Trust Model、主要な脆弱性、ベストプラクティスなどを解説しています。ビルダーと監査者が安全なSnapの空間を作るために必要なリソースと知識が一か所に集まったワンストップショップです。

このガイドラインはConsenys Diligenceによって管理されており、より広いEthereumおよびセキュリティコミュニティの仲間たちの貢献によって支えられています。💚

Snap Security Essentialsで期待できること

• 基本的な考え方： Snapsを理解するということは、MetaMask Trust Modelを理解することを意味します。以前の投稿でまとめたように、ユーザーはMetaMaskを信頼していますが、dappは信頼していません！そのパラダイムを踏まえると、Snapの安全な構築と監査には論理的な帰結があり、それを基本的な考え方のガイドラインとして凝縮しました。

• Snapの脆弱性トップ10： 23年10月時点でSnaps Marketplaceに掲載されているすべてのSnapsの監査レポートを包括的に分析しました。問題を分類し、明確なトップ10を特定しました。各脆弱性について、詳細な説明、悪用シナリオ、および防止策を提供しています。

• 知識ベース： Snapの構築とセキュリティ確保の詳細を深く掘り下げるのに最適な場所です。ここでは、最新の洞察と発見を公開しており、すべてのSnap Securityのアルファ情報を一か所で確認できます。コミュニティの貢献と共有を歓迎しており、知識の宝庫として常に成長し続けています。

• 実験的ツール： セキュリティは難しく、時間がかかります。私たちは常に、あなたの内なるセキュリティエンジニアの生活を楽にする方法を考え、テスト用の新しいツールを公開しています。最新の実験はSnipGuardianで、Snapの機能を視覚化し、コードの洞察を提供し、一般的な脆弱性を検出するように設計されています。このツールはSnap SecurityのSwiss Army Knife（万能ツール）です。Snapユーザーとして、インストール前にSnapのリスクプロファイルを理解するのに役立ちます。開発者として、Snap内の一般的な落とし穴や脆弱性を特定し、コードの堅牢性を高めるのに役立ちます。Snapセキュリティ監査者として、監査プロセスを強化し、一般的な脆弱性を特定するのに役立ちます。

コミュニティのための、コミュニティによるSnap Security

私たちは監査、ツール、そして洞察でサポートします。Snap Security Essentialsは初版としてリリースされ、Snapセキュリティに関するすべての情報の拠点として機能します。これはオープンプロジェクトであり、誰でも貢献することを歓迎します。小さな修正から完全な新しいセクションまで、プルリクエストを自由に送ってください。皆さんと共有し、共に取り組むことを楽しみにしています！

Snapsを安全な空間にしましょう。Snaps Essentialsウェブサイトを訪問するか、今すぐ監査をリクエストする！

Martin Ortner (tintinweb)

Valentin Quelquejay

MartinとValentinは、Consensys Diligenceのセキュリティ専門家であり、Snapセキュリティ研究の最前線に立ち、プラットフォームのセキュリティ強化に精力的に取り組んでいます。