Jak silne jest bezpieczeństwo Twojego inteligentnego kontraktu? mówi kto?

Autor: Chaals Nevile, dyrektor ds. programów technicznych w EEA i redaktor specyfikacji poziomów bezpieczeństwa EthTrust w EEA, wersja 1

Grupa Robocza ds. Poziomów Bezpieczeństwa EthTrust EEA opublikowała niedawno wersję 1 Specyfikacja poziomów bezpieczeństwa EthTrust EEA. Jest to ważna nowa specyfikacja techniczna EEA, określająca wymagania dotyczące audytów bezpieczeństwa inteligentnych kontraktów. Wraz ze wzrostem wartości Ethereum Mainnet i rosnącą rolą inteligentnych kontraktów Solidity/EVM w wielu łańcuchach bloków, temat ten staje się coraz ważniejszy.

Specyfikacja określa trzy poziomy wymagań, od tych, które można przetestować automatycznie za pomocą oprogramowania (Security Level [S]), po dogłębną analizę obejmującą jakość kodowania i dokładność dokumentacji.

Kontrola poziomu bezpieczeństwa [S] pod kątem oczywistych problemów może być wystarczająca w przypadku fragmentu prostego kodu o niskiej wartości, podczas gdy pełna analiza statyczna przeprowadzona przez eksperta w celu upewnienia się, że Twój kod spełnia wymagania poziomu bezpieczeństwa [M], zapewnia nieznane gwarancje dla ważnych kontraktów . Poziom bezpieczeństwa [Q], z dogłębną i staranną oceną logiki biznesowej i jakości kodowania, jest bardziej odpowiedni dla krytycznego kontraktu, który będzie obsługiwał znaczną wartość, lub dla kodu, który ma być ponownie wykorzystany w wielu projektach.

Audytorzy bezpieczeństwa, którzy odwołują się do tej specyfikacji, mogą wykazać, że obejmują całą gamę znanych luk w swoich procedurach testowych. Zapewnia to neutralny punkt odniesienia, który pomaga klientom wybrać odpowiedni poziom przeglądu bezpieczeństwa i zrozumieć jego konsekwencje.

Deweloperzy zaznajomieni ze specyfikacją będą w stanie przewidzieć wiele problemów, które wykryłby audyt bezpieczeństwa jakości, zmniejszając koszty naprawy i zwiększając własne umiejętności i wydajność.

Do tej pory najlepszym podejściem do zapewnienia bezpieczeństwa inteligentnych kontraktów było wybranie renomowanej firmy do przeprowadzenia audytów, a może dwóch dla pewności. Chociaż te firmy istnieją, niektóre mają duże zaległości w pracy. Tymczasem trudno było nawet nowicjuszom o wysokich kwalifikacjach zaistnieć na rynku, ponieważ nie istniał żaden zewnętrzny standard, który potwierdzałby ich pracę.

Niniejsza specyfikacja EEA ma na celu zaradzenie tej luce w ekosystemie. Zapewnienie, że przeprowadzany audyt bezpieczeństwa jest zgodny z odpowiednim poziomem bezpieczeństwa EthTrust, oferuje teraz neutralną, potwierdzoną w branży kontrolę jakości tej krytycznej usługi.

Ponieważ ta specyfikacja została opracowana przy udziale wielu głównych graczy w dziedzinie bezpieczeństwa inteligentnych kontraktów, pełni rolę niezależnego znaku jakości, a nie opinii jednej firmy. Jak zauważono w podziękowaniach współpracowników, zostało sprawdzone przez wielu ekspertów ds. bezpieczeństwa z wielu konkurujących ze sobą organizacji, aby upewnić się, że stanowi podstawę dobrych standardów jakości w branży.

Ta specyfikacja została opracowana w ciągu ostatnich kilku lat, usuwając luki w zabezpieczeniach pochodzące z wielu źródeł. Podobnie, dogłębne analizy sporządzone przez ekspertów pracujących w wielu organizacjach członkowskich EEA pomogły uczynić to tak jasnym, jak to tylko możliwe.

Ponieważ pewien poziom przejrzystości jest ważny dla bezpieczeństwa, szkice specyfikacji były dostępne publicznie, nawet gdy były niedokończone prace w toku. Pierwsza wersja koncentruje się na kontraktach napisanych w Solidity, ale jest odpowiednia dla każdego blockchaina, który obsługuje EVM.

Wraz z opublikowaniem pierwszej wersji jako specyfikacji EEA, Grupa Robocza planuje zebrać opinie i zbadać, w jaki sposób jest ona wykorzystywana, a także mieć oko na stale rozwijającą się dziedzinę bezpieczeństwa, aby opracować zaktualizowaną wersję, gdy stanie się to właściwe.

W innych przyszłych działaniach grupa i EEA mogą również rozważyć prace, takie jak programy certyfikacji i dalsze narzędzia wspierające adopcję i zwiększające ogólne bezpieczeństwo ekosystemu Ethereum.

Na razie cieszymy się, że stworzyliśmy solidne podstawy dla całego ekosystemu, na których można budować bezpieczniej niż kiedykolwiek, uzasadniając zwiększone zaufanie do zdolności wysokiej jakości programistów Ethereum do ochrony prawdziwej wartości i ważnych procesów opartych na inteligentnych kontraktach. Grupa robocza opracowuje teraz projekt swojego kolejnego statutu i rekrutuje kolejnych członków, aby utrzymać specyfikację i przenieść tę pracę na wyższy poziom.

Aby dowiedzieć się o wielu korzyściach płynących z członkostwa w EOG, skontaktuj się z członkiem zespołu Jamesem Harshem pod adresem  lub odwiedzić https://entethalliance.org/become-a-member/.

Śledź nas na Twitter, LinkedIn i Facebook aby być na bieżąco ze wszystkimi sprawami EOG.