Kaj iščejo revizorji pametnih pogodb, medtem ko opravljajo revizijo pametnih pogodb

Pametna pogodba je niz kode Blockchain, ki uveljavlja pogoje transakcije med vpletenimi stranmi. Imenuje se pametna pogodba, ker se samoizvaja in odpravlja potrebo po zaupanja vrednem posredniku. preverimo, kaj iščejo revizorji pametnih pogodb, medtem ko opravljamo revizijo pametnih pogodb.

Kar zadeva njeno uporabo, so pametne pogodbe že prisotne na različnih področjih, kot so digitalne borzne transakcije, volilno glasovanje, množično financiranje, upravljanje dobavne verige in še veliko več v decentraliziranih finančnih sistemih (DeFi). 

Izkazalo se je kot najboljši možni način za resnično digitalizacijo katerega koli procesa z izkoriščanjem osnovne tehnologije Blockchain.

Potreba po pametni reviziji pogodb

Čeprav so pametne pogodbe eden najbolj vznemirljivih vidikov uvajanja tehnologije veriženja blokov, niso brez lastnih težav. Pravzaprav je pravilno razvijanje in revizija teh pogodb ključnega pomena, da jih kar najbolje izkoristite.

Če pametne pogodbe ne ostanejo nerevidirane, delujejo kot zadnja vrata do značilnih lastnosti projekta in hekerjem omogočajo, da projekt izkoristijo. Nadalje upoštevajoč vse večjo pomembnost DeFi-ja s TVL, ki dosega ~ 80 milijard, postaja potreba po pravilno razvitih in revidiranih pametnih pogodbah največja prednost, saj so sredstva v bistvu zaklenjena samo v pametnih pogodbah. 

Revizija ugotovi morebitne organizacijske, tehnične, kibernetske ali finančne napake, ki bi lahko obstajale v pogodbi.

To nas pripelje do vprašanja - 

"Kakšen pomen je prepoznavanje napake v pametnih pogodbah?"

V zadnjih letih smo videli, kako je ena sama napaka povzročila milijone izgub pri blockchain projektih. Vrhunski primer tega je DAO Hack leta 2017. Medtem ko so ljudje trdili, da je DAO-jevo trženje boljše od njegove izvedbe, se zaskrbljenost povečuje glede ranljivosti kode na napade. Kmalu je napadalcu uspelo izprazniti več kot 3.6 milijona etrov. 

Nočete delati naslovov, kajne? 

Pisanje popolnoma zavarovane pametne pogodbe je zelo težko in neodvisna revizija postane bistvenega pomena za postavitev temeljev resnega projekta, ki temelji na verigi blokov. 

Vendar je zelo malo verjetno, da bi se pametna pogodba lahko razvila brez morebitnih napak. Tudi če je pametna pogodba razvita na tak način, ni gotovo, da v prihodnosti ne bo napak. Za tiste, ki mislijo, da je pametna pogodba nespremenljiva in da ne more priti do novih napak, je treba tu upoštevati dejstvo, da so pametne pogodbe odvisne tudi od zunanjih subjektov. 

Na primer, pametna pogodba na denarnem trgu DeFi je odvisna od preročišča in če je oracle vdrt, lahko pametno pogodbo vdrete. 

Zato bodo revizorji vaši najboljši prijatelji na vašem potovanju po DeFi-ju. Izvajajo revizijo pametne pogodbe in zagotavljajo njeno varnost.

Kaj iščejo revizorji pametnih pogodb?

1. Faza predhodnega pregleda kode in seznanitve 

Preprosto povedano, revizorji od razvojne skupine zahtevajo vso dokumentacijo, ki se nanaša na zasnovo in pričakovano vedenje pametne pogodbe. Revizorji opravijo predhodno analizo kodeksa, da ugotovijo splošno skladnost zasnove pogodbe.

2. Ročna in samodejna analiza kode 

Medtem ko ročna analiza kode preučuje vsako vrstico kode, da bi zagotovila, da so izpolnjene vse podrobnosti v specifikaciji pametne pogodbe, avtomatizirana analiza kode išče napake, ki jih ljudje spregledajo. To preverjanje zagotavlja, da se upoštevajo splošne smernice, kot so struktura in zasnova kode, izogibanje odvečni kodi in pričakovano vedenje.

3. Prepoznavanje znanih ranljivosti 

Jedro revizije pametnih pogodb je v prepoznavanju varnostnih ranljivosti. Ker obstaja veliko pogostih težav z varnostjo pametnih pogodb Ethereum, so revizorji ustvarili skupni kontrolni seznam za prepoznavanje takšnih ranljivosti, kot so: 

1. Ponovna vključenost - ponovna vstopnost je napaka, ki je privedla do propada DOA. Pri tem uporabniki sprožijo več prenosov, ne da bi poslali nobenega. Zato lahko napadalec sproži več umikov, ne da bi predložil niti enega od njih. 

1. Prekomerno in podtokovi - Ker računalniki ne razumejo koncepta neskončnosti, napadalec sproži aritmetično operacijo tako, da povzroči, da je izhod večji od največje vrednosti pri prelivanju in manjši od najmanjše vrednosti pri podtoku. 

1. Blokiraj omejitev plina - ko projekt blockchain postane uspešen in nabere veliko količino podatkov, transakcije začnejo porabljati prevelike količine plina. Posledično je težko izvesti transakcijo, kar ima za posledico ranljivosti. 

4. Analiza uspešnosti

Nato revizorji preučijo, ali pogodba lahko izpolni dogovor in ali je sposobna obvladati vse možne spremembe, ko pogodba teče v resničnem svetu. 

5. Skladnost in optimizacija plina 

Možno je, da pametna pogodba ne bi bila v skladu z lokalnimi ali industrijskimi predpisi. Revizorji iščejo skladnost s predpisi in po potrebi priporočajo spremembe.

Omrežja zaračunavajo cene plina za kritje stroškov transakcij. Revizorji poskrbijo, da pri pametnih pogodbah ne porabljamo preveč plina ali provizij za transakcije.

6. Testiranje v živo 

Z uvedbo pogodbe v lokalnem testnem omrežju in izvajanjem obsežnega testnega sklopa revizorji zagotovijo, da vse kode delujejo, kot je predvideno. 

Kako lahko razvijalci zaobidejo kakršne koli napake pred revizijo pogodbe?

1. Pridobite razvojno okolje 

Za uvajanje pogodb, razvoj aplikacij in celo izvajanje preskusov več orodij razvojnega okolja, kot je Truffle, olajša življenje razvijalcev. Poleg tega lahko s temi orodji pospešite ponavljajoča se opravila in pogodbe o odpravljanju napak. 

2. Zaženite orodja za statično analizo 

Razvijalec lahko z orodjem za statično analizo zazna nedoslednosti slogov in programske napake. Solidity Linters vam lahko pomagajo pri preučevanju sloga in varnosti. Slither in Mythril sta na primer dva samodejna detektorja ranljivosti.

3. Priporočila za varen razvoj 

• Poleg zgoraj omenjenih izzivov lahko varnostne ranljivosti povzročajo številne težave. Torej bi se morali razvijalci seznaniti s čim več varnostnimi ranljivostmi. 
• Razvijalci bi morali razumeti vzorce trdnosti, kot so vedenje, varnost in ekonomski vzorci. 
• Razvijalci bi morali preučiti tudi druga priporočila, kot je previdnost pri zunanjih klicih in vlečenje. 

4. Zaženite teste 

Preden dajo na vrsto veliko vsoto denarja, bi morale pogodbe za daljši čas izvajati obsežen testni paket. Pomagal bo pri zgodnjem odkrivanju napak in nepričakovanem vedenju.

Razvijalci lahko za obsežno oceno pogodbe uporabijo izčrpne raziskave.

Vendar samo izvajanje preizkusov ne bo zagotovilo pogodbe. Razvijalci morajo izmeriti tudi učinkovitost takšnih testov. Eden od načinov rednega izvajanja enotnih testov in spremljanja njihove učinkovitosti je iskanje gostiteljskega okolja CI. 

5. Kako razmestiti na glavni mreži 

Preden se odločite za objavo pogodbe na glavnem omrežju, razmislite o njenem zagonu na javni testni mreži. Razvijalci se lahko zlasti odločijo za uvajanje pogodbe v glavnem omrežju v različicah beta. V začetnih fazah bo omejila višino tveganja. 

Poleg tega med to fazo testnega omrežja razmislite o zagonu programa nagrajevanja za napake, pri katerem lahko skupnost razvijalcev pomaga pri prepoznavanju kritičnih napak v zameno za denarne nagrade. 

6. Spremljanje dogodkov 

Vzpostavitev ustreznega sistema spremljanja je še ena praksa, ki lahko prispeva k operativni odličnosti. Če pride do resničnih sprememb v sistemu, bo ta sistem za spremljanje opozoril razvijalce.

zaključek 

Ker je tehnologija veriženja blokov še vedno v zgodnji fazi, pričakujte redne izboljšave sistema ter zaščito in popravke napak.

Kljub temu je upoštevanje varnostnih praks temeljni koncept, ki ga mora razumeti vsak razvijalec in druge zainteresirane strani, preden ustvarijo pametno pogodbo.

Čeprav je razvoj pametne pogodbe brez napak še vedno sanje, je sposobnost učinkovitega odzivanja na ranljivosti resničnost.

Kar potrebuje pametna pogodba, je skupina strokovnjakov revizorjev, ki se sproti obvešča o nenehno spreminjajočih se panožnih trendih. Za brezplačen posvet se obrnite na našo revizijsko skupino, da boste še bolje razumeli potrebo po reviziji pametnih pogodb.

Obrnite se na QuillHash

Z dolgoletno prisotnostjo v industriji, QuillHash je rešitve za podjetja predstavil po vsem svetu. QuillHash z ekipo strokovnjakov je vodilno podjetje za razvoj verig blokov, ki ponuja različne industrijske rešitve, vključno s podjetjem DeFi. Če potrebujete kakršno koli pomoč pri reviziji pametnih pogodb, se obrnite na naše strokovnjake tukaj!

Sledite QuillHash za več posodobitev

Twitter | LinkedIn | Facebook

Vir: https://blog.quillhash.com/2021/05/17/what-smart-contract-auditors-look-for-gether-doing-smart-contract-audit/