AD
科普 | 什么是量子计算机？为什么它对加密货币是种威胁？
加密爱好者担心量子计算机的影响。一些数字资产可能成为量子计算机的受害者。未来，量子计算机可能会为大众，甚至犯罪分子所用。
近一个月，比特币币值从1.8万美元到2万美元，涨势如虹。币圈传出新闻：圣诞节前，比特币必将大涨一波。
昨日晚间，BTC就十分争气的冲上了23000的高位。
在比特币涨势率领下，币圈陷入疯狂，加密数字行情炙手可热，以太坊、瑞波币、莱特币等加密钱币同样涨势喜人。
从昨日晚间到今日，币圈上演了一幕幕大型“真香”现场，市场的狂热投资者陆续进场“格斗”。
相比于2017年的比特币狂欢，这次的涨势看起来可能加倍的稳固。
2020年对于所有人来说都是特殊的一年，疫情发作，币圈动荡。去中央化金融defi的泛起和生长热潮使得区块链最先再次受到人们的关注。
随着新区块链项目的推出，跨越两千种的加密资产，越来越多的加密钱包进入市场，越来越多的用户也最先涌入这个领域。
当加密领域拥有的资产越来越重大，来自于平安隐患方面的危急也显露无遗。
比特币大涨，你的钱包是否还平安？
近年来，数字钱包平安事宜频发。
去年11月19日，Ars Technica报道称两个加密钱币钱包数据遭泄露，220万账户信息被盗。平安研究员Troy Hunt证实，被盗数据来自加密钱币钱包GateHub和RuneScape机器人提供商EpicBot的账户。
这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了约莫100 个XRP Ledger钱包，导致近1000万美元的资金被盗。、
2019年3月29日，Bithumb失贼事宜闹得沸沸扬扬。据预测，这次事宜起由于Bithumb拥有的g4ydomrxhege帐户的私钥被黑客偷取。
随即，黑客将窃取的资金涣散到各个交易所，包罗火币，HitBTC，WB和EXmo。凭据非官方数据和用户估量，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。
由于数字钱币的匿名性及去中央化，导致被盗资产在一定水平上难以追回。因此，钱包的平安性至关主要。
2020年8月9日，CertiK的平安工程师在DEF CON区块链平安大会上揭晓了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包破绽行使与剖析）的主题讲述，分享了对于加密钱包平安的看法。
加密钱包是一种辅助用户治理帐户和简化交易过程的应用程序。
有些区块链项目公布加密钱包应用程序来支持本链的生长——好比用于CertiK Chain的Deepwallet。
此外，另有像Shapeshift这样的公司，其构建了支持差别区块链协议的钱包。
从平安的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。
近一年来，CertiK手艺团队对多个加密钱包举行了测试和研究，并在此分享针对基于软件差别类型的加密钱包举行平安评估的方式及流程。
加密钱包基础审计清单
要对一个应用程序举行评估，首先需要领会其事情原理→代码实现是否遵照最佳平安尺度→若何对平安性不足的部门举行修正及提高。
CertiK手艺团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是若何生产和储存用户私钥的。
● 应用程序若何天生私钥？
● 应用程序若何以及在那边存储原始信息和私钥？
● 钱包毗邻到的是否是值得信托的区块链节点？
● 应用程序允许用户设置自定义区块链节点吗？若是允许，恶意区块链节点会对应用程序造成什么影响？
● 应用程序是否毗邻了中央化服务器？若是是，客户端应用会向服务器发送哪些信息？
● 应用程序是否要求用户设置一个平安性高的密码？
● 当用户试图接见敏感信息或转账时，应用程序是否要求二次验证？
● 应用程序是否使用了存在破绽且可被攻击的第三方库？
● 有没有隐秘（好比：API密钥，AWS凭证）在源代码存储库中泄露？
● 有没有显著的不良代码实现（例如对密码学的错误明白）在程序源代码中泛起？
● 应用服务器是否强制TLS毗邻？
手机钱包相比于笔记本电脑，手机等移动装备更容易丢失或被盗。
在剖析针对移动装备的威胁时，必须思量攻击者可以直接接见用户装备的情形。
在评估过程中，若是攻击者获得接见用户装备的权限，或者用户装备熏染恶意软件，我们需要想法识别导致账户和密码资产受损的潜在问题。
除了基础清单以外，以下是在评估手机钱包时要增添检查的审计类目：
● 应用程序是否忠告用户不要对敏感数据举行截屏——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否忠告用户不要对敏感数据举行截屏？
● 应用程序是否在后台截图中泄露敏感信息？
● 应用程序是否检测装备是否越狱/root？
● 应用程序是否锁定后台服务器的证书？
● 应用程序是否在程序的log中记录了敏感信息？
● 应用程序是否包罗设置错误的deeplink和intent，它们可被行使吗?
● 应用程序包是否混淆代码？
● 应用程序是否实现了反调试功效?
● 应用程序是否检查应用程序重新打包?
● (iOS)储存在iOS Keychain中的数据是否具有足够平安的属性？
● 应用程序是否受到密钥链数据持久性的影响?
● 当用户输入敏感信息时，应用程序是否禁用自定义键盘?
● 应用程序是否平安使用“webview”来加载外部网站？
对于一个完全去中央化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥接见钱包，MyEtherWallet也同样建议用户不要这样做。
与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包举行钓鱼攻击相对来说更容易；若是攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。
然而，一个平安构建并经由彻底测试的web钱包依旧是用户治理其加密资产的不二之选。
除了上面通例的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：
● 应用程序存在跨站点剧本XSS破绽吗？
● 应用程序存在点击挟制破绽吗？
● 应用程序有没有有用的Content Security Policy？
● 应用程序存在开放式重定向破绽吗？
● 应用程序存在HTML注入破绽吗？
● 现在网页钱包使用cookie的情形很少见，但若是有的话，应检查：
Cookie属性
跨站请求伪造（CSRF）
跨域资源共享（CORS）设置错误
● 该应用程序是否包罗除基本钱包功效之外的其他功效? 这些功效存在可被行使的破绽吗？
● OWASP Top 10中未在上文提到的破绽。
Metamask是最著名和最常用的加密钱包之一，它以浏览器扩展的形式泛起。
扩展钱包在内部的事情方式与web应用程序异常相似。
差别之处在于它包罗被称为content script和background script的怪异组件。
网站通过content script和background script通报事宜或新闻来与扩展页面举行交流。
在扩展钱包评估时代，最主要的事情之一就是测试一个恶意网站是否可以在未经用户赞成的情形下读取或写入属于扩展钱包的数据。
除了基础清单以外，以下是在评估扩展钱包时要增添检查的审计类目：
● 扩展要求了哪些权限？
● 扩展应用若何决议哪个网站允许与扩展钱包举行交流？
● 扩展钱包若何与web页面交互？
● 恶意网站是否可以通过扩展中的破绽来攻击扩展自己或浏览器中其他的页面？
● 恶意网站是否可以在未经用户赞成的情形下读取或修改属于扩展的数据？
● 扩展钱包存在点击挟制破绽吗？
● 扩展钱包（通常是background script）在处置新闻之前是否已检查新闻来源？
● 应用程序是否实现了有用的内容平安策略?
在编写了web应用程序的代码之后，为什么不用这些代码来制作一个Electron中桌面应用程序呢？
在以往测试过的桌面钱包中，约莫80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的破绽，还要检查Electron设置是否平安。
CertiK曾针对Electron的桌面应用程序破绽举行了剖析，你可以点击接见此文章领会详情。
以下是基于Electron的桌面钱包受评估时要增添检查的审计类目：
● 应用程序使用什么版本的Electron？
● 应用程序是否加载远程内容？
● 应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？
● 应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？
● 应用程序是否允许用户在统一窗口中从当前钱包页面跳转到随便的外部页面？
● 应用程序是否实现了有用的内容平安策略？
● preload script是否包罗可能被滥用的代码？
● 应用程序是否将用户输入直接通报到危险函数中(如“openExternal”)？
● 应用程序会使不平安的自定义协议吗?
服务器端破绽检查列表在我们测试过的加密钱包应用程序中，有一半以上是没有中央化服务器的，他们直接与区块链节点相连。
CertiK手艺团队以为这是削减攻击面和珍爱用户隐私的方式。
然则，若是应用程序希望为客户提供除了帐户治理和令牌传输之外的更多功效，那么该应用程序可能需要一个带有数据库和服务器端代码的中央化服务器。
服务器端组件要测试的项目高度依赖于应用程序特征。
凭据在研究以及与客户接触中发现的服务器端破绽，我们编写了下文的破绽检查表。固然，它并不包罗所有可能发生的服务器端破绽。
● 认证和授权
● KYC及其有用性
● 竞赛条件
● 云端服务器设置错误
● Web服务器设置错误
● 不平安的直接工具引用(IDOR)
● 服务端请求伪造(SSRF)
● 不平安的文件上传
● 任何类型的注入(SQL，下令，template)破绽
● 随便文件读/写
● 营业逻辑错误
● 速率限制
● 拒绝服务
● 信息泄露
总结
随着手艺的生长，黑客们实行的敲诈和攻击手段也越来越多样化。
CertiK平安手艺团队希望通过对加密钱包平安隐患的分享让用户更清晰的熟悉和领会数字钱币钱包的平安性问题、提高小心。
现阶段，许多开发团队对于平安的问题重视水平远远低于对于营业的重视水平，对自身的钱包产物并未做到足够的平安防护。通过分享加密钱包的平安审计类目，CertiK期望加密钱包项目方对于产物的平安尺度拥有清晰的认知，从而促进产物平安升级，配合珍爱用户资产的平安性。
数字钱币攻击是多手艺维度的综合攻击，需要思量到在数字钱币治理流通过程中所有涉及到的应用平安，包罗电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。
加密钱包需要重视对于潜在攻击方式的检测和监视，制止多次受到统一方式的攻击，而且增强数字钱币账户平安珍爱方式，使用物理加密的离线冷存储（cold storage）来保留主要数字钱币。除此之外，需要约请专业的平安团队举行网络层面的测试，并通过远程模拟攻击来寻找破绽。
加入新手交流群：每天早盘分析、币种行情分析
添加助理微信，一对一专业指导：chengqing930520
上一篇：一文读懂新兴加密巨头「Paxos」的营业疆土
加入新手交流群：每天早盘分析、币种行情分析，添加助理微信
一对一专业指导：chengqing930520
最新资讯
