Snaps 보안 핵심 사항: MetaMask Snaps 개발을 위한 보안 가이드

새로운 프리미티브는 새로운 버그를 의미하며, 보안을 기본으로 구축하려면 이해해야 할 몇 가지 패러다임이 있습니다. 다행히도 Ethereum Smart Contract Security Best Practices와 같은 가이드라인이 있어 개발자들이 프로젝트를 사용자에게 최대한 안전하게 만들 수 있도록 탄탄한 이해를 제공합니다.

MetaMask Snaps 보안 가이드라인

그러한 새로운 프리미티브 중 하나가 MetaMask Snaps입니다. 이는 사용자가 MetaMask의 기능을 안전하게 확장하고 새로운 지갑 경험을 제공할 수 있도록 하는 오픈 소스 시스템입니다. 핵심적으로, Snap은 격리된 환경에서 MetaMask 내부에서 작동하는 JavaScript 프로그램입니다.

MetaMask Snaps와 함께 MetaMask 지갑을 위한 다양하고 흥미로운 기능들이 제공되며, 이는 필연적으로 더 많은 복잡성과 그에 따른 더 넓은 공격 표면을 도입합니다. 이전에 우리는 보다 안전한 Snap 개발을 위한 MetaMask 신뢰 모델을 소개하고 Snaps의 일반적인 취약점을 예고했습니다.

이것은 모든 Snap 보안에 관한 지식 베이스를 만들기 위한 다음 단계의 기반입니다. 빌더와 감사자를 염두에 두고, 우리는 MetaMask 신뢰 모델, 주요 취약점, 모범 사례 등을 설명하는 Snap Security Essentials를 구성했습니다. 이는 빌더와 감사자가 안전한 Snap 환경을 만드는 데 필요한 리소스와 지식을 한 곳에서 제공하는 원스톱 플랫폼입니다.

이는 더 넓은 Ethereum 및 보안 커뮤니티의 친구들의 기여와 함께 Consensys Diligence에 의해 유지 관리됩니다. 💚

Snap Security Essentials에서 기대할 수 있는 것

• 일반 철학: Snaps를 이해한다는 것은 MetaMask 신뢰 모델을 이해하는 것을 의미합니다. 이전 게시물에서 요약했듯이 사용자는 MetaMask를 신뢰하지만 dapp은 신뢰하지 않습니다! 그 패러다임을 감안할 때, Snap 보안 구축 및 감사에 대한 논리적 결과가 있으며, 이를 일반 철학 가이드라인으로 압축했습니다.

• Snap 취약점 Top 10: 우리는 23년 10월까지 Snaps Marketplace의 모든 Snaps에 대한 감사 보고서를 종합적으로 분석했습니다. 문제를 분류하고 명확한 Top 10을 식별했습니다. 각 취약점에 대해 Essentials는 상세한 설명, 오용 시나리오 및 예방 방법을 제공합니다.

• 지식 베이스: 이곳은 Snap 구축 및 보안의 세부 사항을 파악하기에 적합한 장소입니다. 여기에 최신 인사이트와 발견 사항을 공유하여 모든 Snap Security 알파 정보를 한 곳에서 확인할 수 있습니다. 커뮤니티의 기여와 공유를 환영하며 지속적으로 성장하는 지식의 보고입니다.

• 실험적 도구: 보안은 어렵고 시간이 걸립니다. 우리는 내면의 보안 엔지니어의 삶을 더 쉽게 만들 방법을 지속적으로 고민하고 테스트할 새로운 도구를 게시합니다. 최신 실험은 SnipGuardian으로, Snap의 기능을 시각화하고, 코드 인사이트를 제공하며, 일반적인 취약점을 감지하도록 설계되었습니다. 이 도구는 Snap 보안의 스위스 아미 나이프입니다. Snap 사용자로서, 설치 전에 Snap의 위험 프로필을 이해하는 데 도움이 될 수 있습니다. 개발자로서, Snap의 일반적인 함정과 취약점을 식별하고 코드의 견고성을 향상시키는 데 도움이 될 수 있습니다. Snap 보안 감사자로서, 감사 프로세스를 향상시키고 일반적인 취약점을 식별하는 데 도움이 될 수 있습니다.

커뮤니티를 위한, 커뮤니티로부터의 Snap 보안

우리는 감사, 도구 및 인사이트로 여러분을 지원하기 위해 여기 있습니다. Snap Security Essentials는 첫 번째 버전으로 출시되었으며 모든 Snap 보안에 관한 필수 참고 장소로 기능합니다. 이것은 오픈 프로젝트이며 모든 분들의 기여를 환영합니다. 작은 수정부터 완전히 새로운 섹션까지 무엇이든 pull request를 제출해 주세요. 여러분 모두와 함께 공유하고 협력하기를 기대합니다!

Snaps를 안전한 공간으로 만들어 봅시다. Snaps Essentials 웹사이트를 방문하세요 또는 지금 감사를 요청하세요!

Martin Ortner (tintinweb)

Valentin Quelquejay

Consensys Diligence의 보안 전문가인 Martin과 Valentin은 Snap 보안 연구의 최전선에서 플랫폼의 보안을 강화하기 위해 열심히 노력하고 있습니다.