Snaps Güvenlik Temelleri: MetaMask Snaps Geliştirme için Güvenlik Rehberi

Yeni ilkeller yeni hatalara yol açar ve güvenliği baştan inşa etmek istiyorsanız anlamanız gereken birkaç paradigma vardır. Neyse ki, geliştiricilere projelerini kullanıcılar için mümkün olduğunca güvenli hale getirme konusunda sağlam bir anlayış kazandıran Ethereum Akıllı Sözleşme Güvenliği En İyi Uygulamaları gibi kılavuzlar mevcuttur.

MetaMask Snaps için güvenlik kılavuzları

Bu tür yeni ilkellerden biri, kullanıcıların MetaMask'ın işlevselliğini güvenli bir şekilde genişletmesine ve yeni cüzdan deneyimleri sunmasına olanak tanıyan açık kaynaklı bir sistem olan MetaMask Snaps'tir. Özünde bir Snap, MetaMask içinde izole bir ortamda çalışan bir JavaScript programıdır.

MetaMask Snaps ile birlikte MetaMask cüzdanınız için çeşitli yeni ve heyecan verici işlevler gelir; bu da kaçınılmaz olarak daha fazla karmaşıklık ve dolayısıyla daha geniş bir saldırı yüzeyi anlamına gelir. Daha önce, daha güvenli bir Snap geliştirme için MetaMask Güven Modeli'ni tanıtmış ve Snaps'teki yaygın güvenlik açıklarına dair ipuçları vermiştik.

Bu, Snap güvenliğine ilişkin her şeyi kapsayan bir bilgi tabanı oluşturmak için atacağımız bir sonraki adımın temelini oluşturmaktadır. Geliştiriciler ve denetçiler göz önünde bulundurularak, MetaMask Güven Modeli'ni, en önemli güvenlik açıklarını, en iyi uygulamaları ve daha fazlasını açıklayan Snap Güvenlik Temelleri belgesini bir araya getirdik. Bu, geliştiricilerin ve denetçilerin güvenli bir Snap ortamı oluşturmak için ihtiyaç duydukları kaynak ve bilgileri tek bir çatı altında toplayan kapsamlı bir başvuru noktasıdır.

Daha geniş Ethereum ve güvenlik topluluğundaki dostlarımızın katkılarıyla Consensys Diligence tarafından sürdürülmektedir. 💚

Snap Güvenlik Temellerinden neler bekleyebilirsiniz?

• Genel felsefe: Snaps'i anlamak, MetaMask Güven Modeli'ni anlamak demektir. Önceki yazımızda özetlendiği gibi, kullanıcılar MetaMask'a güvenir ancak dapp'e güvenmez! Bu paradigma göz önüne alındığında, Snap'in güvenli bir şekilde geliştirilmesi ve denetlenmesi için genel felsefe kılavuzlarına dönüştürdüğümüz mantıksal sonuçlar ortaya çıkmaktadır.

• En önemli 10 Snap güvenlik açığı: Snaps Marketplace'teki tüm Snaps'in Ekim 23'e kadar olan denetim raporlarının kapsamlı bir analizini gerçekleştirdik. Sorunları sınıflandırarak net bir ilk 10 belirledik. Her güvenlik açığı için temel bilgiler; ayrıntılı bir açıklama, kötüye kullanım senaryoları ve bunları önlemenin yollarını sunar.

• Bilgi tabanı: Snap geliştirme ve güvenliğinin derinliklerine inmek için doğru yer burasıdır. Tüm Snap Güvenliği alpha bilgilerini tek bir yerde bulabilmeniz için en güncel içgörülerimizi ve bulgularımızı burada paylaştık. Topluluğu katkıda bulunmaya ve paylaşmaya davet ettiğimizden bu, sürekli büyüyen bir bilgi hazinesidir.

• Deneysel araçlar: Güvenlik zordur ve zaman alır. İçinizdeki güvenlik mühendisinin işini kolaylaştırmanın yollarını sürekli düşünüyor ve test etmeniz için yeni araçlar yayımlıyoruz. En son deneyimimiz olan SnipGuardian, bir Snap'in yeteneklerini görselleştirmek, kod içgörüleri sunmak ve yaygın güvenlik açıklarını tespit etmek için tasarlanmıştır. Bu araç, Snap Güvenliğinin İsviçre çakısıdır. Bir Snap kullanıcısı olarak, yüklemeden önce bir Snap'in risk profilini anlamanıza yardımcı olabilir. Bir geliştirici olarak, Snap'inizdeki yaygın tuzakları ve güvenlik açıklarını belirlemenize ve kodunuzun sağlamlığını artırmanıza yardımcı olabilir. Bir Snap güvenlik denetçisi olarak ise denetim sürecinizi geliştirmenize ve yaygın güvenlik açıklarını tespit etmenize yardımcı olabilir.

Topluluk için ve topluluktan Snap Güvenliği

Denetimler, araçlar ve içgörülerle size destek olmak için buradayız. Snap Güvenlik Temelleri ilk sürümüyle yayımlandı ve Snap Güvenliğine ilişkin her şey için başvurulacak yer olarak hizmet vermektedir. Bu açık bir projedir ve herkesi katkıda bulunmaya davet ediyoruz. Küçük düzeltmelerden tamamen yeni bölümlere kadar her türlü içerikle pull request göndermekten çekinmeyin. Hepinizle birlikte paylaşmayı ve çalışmayı sabırsızlıkla bekliyoruz!

Snaps'i güvenli bir alan haline getirelim. Snaps Essentials web sitesini ziyaret edin veya bugün bir Denetim talep edin!

Martin Ortner (tintinweb)

Valentin Quelquejay

Consensys Diligence'taki güvenlik uzmanları Martin ve Valentin, Snap güvenlik araştırmalarının ön saflarında yer alarak platformun güvenliğini artırmak için titizlikle çalışmaktadır.