DApps: tietoturvaongelmat, hakkerit ja ehkäisevät toimenpiteet 

Lukeaika: 4 pöytäkirja

Hajauttaminen kaikilla elämänaloilla on tulevan aikakauden uusi koodi. DApps on täällä mullistamassa tapaamme käyttää sovelluksia yhdistämällä tietosuoja- ja omistusominaisuudet. 

Mennään blogin syvyyksiin.

Mitä ovat DApps?

DApps ovat hajautettuja sovelluksia, jotka käyttävät lohkoketjua tietojen käsittelyyn hajautetun verkon kautta ja tapahtumien suorittamiseen. Toisin kuin keskitetyt sovellukset, DApps-sovelluksia ohjaavat vertaisverkot. 

Kun kehittäjä on julkaissut DApp-koodikannan, sen päälle voidaan rakentaa useita sovelluksia. Ei ole olemassa yhtä viranomaista, eikä siten yhtä vikakohtaa, kun P2P-verkko käyttää niitä. 

DApp auttaa luomaan lukuisia sovelluksia, kuten verkkosovelluksia, pelejä ja viihdettä, sosiaalisen median sovelluksia jne.       

DApp:n merkittävät ominaisuudet

Tässä on muutamia vihjeitä DApp:n tärkeimmistä ominaisuuksista

• Ne ovat avoimen lähdekoodin ja ovat käyttäjän ohjattavissa. Tämä tarkoittaa, että kaikista muutoksista tai uusista lisäyksistä äänestetään ja ne toteutetaan. 
• Hajauttaminen on keskeinen osa, jonka kautta kaikki yksityiskohdat säilytetään julkisesti jaetussa kirjanpidossa.
• DApps käyttää alustalle kotoisin olevia tunnuksia palkitsemaan käyttäjiä osallistumisesta tai niiden louhinnasta.

Uutisia DAppsin käytöstä

- raporttien mukaan DAppRadar, hajautettuja sovelluksia käyttävien käyttäjien määrä kasvaa 396 % joka vuosi, ja nyt heitä on 2.4 miljoonaa. 

Joista pelien DApps-sovellukset muodostavat yli 50 % käyttäjien toiminnasta vuoden 1 ensimmäisellä neljänneksellä, ja NFT:t tekivät valtavan, noin 2022 miljardin dollarin kokoelman. 

DApp-koodauksen tietoturvaongelmat

Kun tiedämme DApp:n yleisidean, tutkikaamme nyt joitain niihin liittyviä yleisiä teknisiä virheitä.

Allekirjoituksen tarkistus: Sekkimuodon "case_=> true" käyttö @vahvistin DApp-koodauksen toiminto estää siirtotapahtuman samalla kun sallii muut tapahtumatyypit.

{-# STDLIB_VERSION 3 #-}
{-# CONTENT_TYPE EXPRESSION #-}
{-# SCRIPT_TYPE ACCOUNT #-}

match (tx) {
	case t:TransferTransaction => false
	case _ => true # NEVER DO THIS!
}

Mutta käyttämällä tämäntyyppistä koodia, kuka tahansa käyttäjä voi suorittaa tapahtumia paitsi siirtotapahtumia. Kun julkinen avain syötetään senderPublicKey-kenttään allekirjoituksia lisäämättä, se antaa kaikille käyttäjille oikeuden suorittaa tapahtuma. 

{-# STDLIB_VERSION 3 #-}
{-# CONTENT_TYPE EXPRESSION #-}
{-# SCRIPT_TYPE ACCOUNT #-}

match (tx) {
	case t:TransferTransaction => false
	case _ => sigVerify(tx.bodyBytes, tx.proofs[0], tx.senderPublikey)
}

Siksi on ratkaisevan tärkeää varmistaa, että DApp-koodauksessa on allekirjoituksen tarkistus, jotta mainittu haavoittuvuus puuttuu.

Avainten syöttäminen: DApp:n toimintoihin sisältyy avainarvojen tallennus. Yleinen virhe on, että kehittäjä kirjoittaa yhdelle avaimelle ja luki sen toisesta. Siksi avaimia kirjoittaessasi on oltava varovainen. 

let NONE = "NONE"

func keyVoteByAddress(votingId: Int, address: String) = "voting_" + votingId + "_vote_" + address


@Callable(i)
func vote(id: Int) => {
	let voteKey = keyVoteByAddress(id, i.caller.toBase58String())
	let vote = getString(this, voteKey).valueOrElse(NONE)

	# alternative option

	let vote = match getString(this, voteKey){
    	case s: String => s
    	case _ => NONE
	}

	if (vote == NONE) then ...
	else ...
}

Toinen virhe on se, että oletusarvojen antamisen sijaan ei ole suositeltavaa yrittää lukea arvoja muuttujista, kuten value() tai extract().

Valvotut liiketoimet: DApp-toiminnot sisältävät useita toisistaan ​​riippuvaisia ​​toimintoja, jotka suoritetaan peräkkäin. Tällaisissa tapauksissa on turvallista saada toiminto "waitForTxWithNConfirmations" vastaanottamaan vahvistukset kerran sen jälkeen, kun ensimmäinen tapahtuma on lisätty lohkoon.

Yleiset DApps-ongelmat

DAppsien alhainen likviditeettitaso: Alhainen likviditeettitaso hajautetuissa sovelluksissa vaikeuttaa rahakkeiden ostamista tai myymistä odotettuun hintaan, mikä aiheuttaa lipsumista. Liukuminen on odotetun ja toteutuneen hinnan välinen ero, joka voi johtaa varojen menettämiseen.

Käyttäjät voivat seurata omaisuuserien likviditeettiä kaupankäyntimääriensä perusteella ja tehdä älykkäitä päätöksiä ennen tokenin ostamista tai myyntiä. 

Tietoturvaloukkaus tai vika:  DAppit toimivat älykkäiden sopimusten kautta, ja ne, joiden koodauksessa on virheitä, ovat ihanteellisia kohteita hakkereille. Äärimmäisissä markkinaolosuhteissa tai koodin hyväksikäytön vuoksi DApps-laitteiden devalvoituminen tai varojen menetys on väistämätöntä.

Kolmannen osapuolen yritysten suorittama koodin tarkastus auttaa ratkaisemaan tämän ongelman paremmin. 

Phishing DApp: Jos DApp:n koodauksessa on kompromissi, tietojenkalastelulinkkejä levitetään heidän virallisille sivustoilleen. Napsauttamalla niitä tietämättään ne tyhjentävät kaikki varat käyttäjien lompakoista. 

Siksi tarkista URL-osoitteet uudelleen ennen kuin lisäät varoja lompakoistasi tai annat lompakkotiedot. 

DApp-hakkerointien ja -huijausten tila vuonna 2022

DAppien haittapuoli on se, että ne ovat alttiita hakkeroille. DAppRadarin julkaisemien tietojen mukaan pelkästään DApp-huijaukset aiheuttivat 1.2 miljardin dollarin tappion. 

Suurten hakkerointitapahtumien kohokohtia ovat mm.

Ronin-sillan hakkerointi: Päästyessään validointisolmuihin hakkeri pystyi väärentämään väärennettyjä tapahtumia Axie Infinity's Roninin siltaverkko, joka johti 600 miljoonan dollarin tappioon. 

Madonreiän protokolla: Hakkeri käytti hyväkseen Wormhole-protokollakoodin tietoturvavirhettä, mikä johti 325 miljoonan dollarin tappioon. 

Näin pysyt suojattuna ja ennaltaehkäiseviä menetelmiä DApp-suojaukseen

Tietoturvapuutteiden voittaminen ratkaisee suurimman osan ongelmasta DApps. On olemassa muutamia tapoja selvittää se. 

1. Ota käyttöön tilintarkastuspalvelut: Perusteellinen koodausanalyysi tilintarkastusyritykseltä, kuten QuillAudits poistaa bugit maanpinnasta. 
2. Tunkeutumistestaus: Läpäisytestaus saa yliotteen piilotettujen/solmuhaavoittuvuuksien etsimisessä, API:iden testauksessa ja uusien hyökkäyspolkujen löytämisessä. 

Yleiset ennaltaehkäisevät toimenpiteet DApp-suojaukseen

1. Säilytä yksityisen siemenlauseen salassa päästäksesi varoihin lompakosta
2. DApp-sivuston aitouden ja laillisuuden tarkistaminen
3. Varo kielioppivirheitä sisältäviä linkkejä tai tekstejä.

114 Näyttökerrat