L'initiative Trillion Dollar Security (1TS) de la Fondation Ethereum est fière d'annoncer l'attribution d'une subvention à la Freedom of the Press Foundation (FPF) pour soutenir le développement continu de WEBCAT. WEBCAT est un outil open source qui permet aux navigateurs de vérifier que le code fourni par un site web inscrit correspond à ce que ses développeurs ont publié. La subvention aidera également à apporter cette protection aux portefeuilles et applications Ethereum.
Combler les lacunes de vérification front-end
La subvention cible une lacune dans la façon dont les applications web sont sécurisées aujourd'hui. HTTPS authentifie le site auquel vous vous connectez et chiffre la connexion, mais il ne prouve pas que le code fourni par le site correspond à ce que ses développeurs ont publié. Sans une vérification d'intégrité indépendante, un navigateur peut exécuter un front-end altéré sans avertissement.
Pour les utilisateurs d'Ethereum, le risque réside dans le site web de l'application lui-même. Votre navigateur charge et exécute le code du site lors de votre visite. Un code falsifié à cet endroit peut échanger l'adresse du destinataire ou vous demander de signer autre chose que ce que la page affichait. Votre portefeuille ne peut pas déterminer, à partir de la seule connexion, si la page a été altérée.
Trillion Dollar Security a identifié les piratages front-end comme un risque d'infrastructure et les front-ends vérifiables comme une prochaine étape. Les interfaces web compromises peuvent exposer les utilisateurs à des attaques de la chaîne d'approvisionnement et à la manipulation de l'interface utilisateur, et peuvent augmenter l'impact d'incidents tels que les détournements de DNS.
À propos de WEBCAT
WEBCAT, abréviation de web-based code assurance and transparency (assurance et transparence du code basé sur le web), permet à un navigateur de vérifier que les ressources fournies par un site inscrit correspondent à un manifeste signé. Si la vérification échoue, l'extension Firefox alpha actuelle empêche le chargement de la page et affiche un avertissement.
Les développeurs signent un manifeste décrivant les fichiers et autres ressources couverts par chaque version. Un système d'inscription distribué et vérifiable maintient un registre public. Pour chaque site participant, ce registre contient une empreinte cryptographique des informations d'inscription qui spécifie les identités de signature autorisées du site et les règles de validation. L'extension télécharge et vérifie périodiquement un Snapshot du registre, afin de pouvoir vérifier les sites inscrits localement sans contacter un tiers à chaque visite.
La FPF a développé WEBCAT en partie parce qu'une future version de SecureDrop aura besoin d'un code de navigateur vérifiable. SecureDrop est le système de soumission open source de la FPF pour une communication sécurisée entre les journalistes et les sources anonymes.
Aujourd'hui, SecureDrop chiffre les soumissions sur le serveur de la salle de rédaction au fur et à mesure de leur téléchargement. Le serveur gère le contenu non chiffré pendant le téléchargement, mais stocke les soumissions sous forme chiffrée. La FPF développe un protocole de chiffrement de bout en bout pour une future version de SecureDrop. Selon la conception prévue, le navigateur de la source chiffrerait le contenu du message avant de l'envoyer, de sorte que le serveur stockerait le texte chiffré plutôt que de conserver le texte en clair en mémoire jusqu'à ce qu'il soit chiffré par le serveur. Le protocole est toujours en cours de développement et ne couvre pas encore les pièces jointes.
Étant donné que le code de chiffrement proviendrait toujours du serveur, un serveur compromis pourrait envoyer un code altéré qui capture le contenu avant le chiffrement. WEBCAT est conçu pour détecter et bloquer ce type d'altération. La FPF a également testé WEBCAT avec d'autres applications sécurisées basées sur un navigateur grâce à des intégrations de preuve de concept.
Le même risque d'intégrité du code s'applique lorsque les utilisateurs d'Ethereum interagissent avec les front-ends d'applications basées sur un navigateur, c'est pourquoi un outil conçu pour protéger les sources et les journalistes convient également aux portefeuilles et aux applications.
Ce que finance la subvention
La subvention finance le développement d'une bibliothèque de vérification WEBCAT que les portefeuilles peuvent intégrer.
Un portefeuille qui inclut la bibliothèque peut vérifier les sites inscrits, de sorte que les utilisateurs bénéficient de la protection sans installer d'extension distincte. La subvention finance également la recherche sur la prise en charge de Chrome et d'autres navigateurs Chromium, l'aide aux équipes ajoutant WEBCAT à leurs applications, un audit de sécurité indépendant et un standard ERC (Ethereum Request for Comments) afin que les développeurs de portefeuilles aient une norme à suivre.
La bibliothèque complétera d'autres travaux de 1TS, y compris la signature en clair. La signature en clair aide les utilisateurs à comprendre ce qu'ils approuvent, tandis que l'intégration de WEBCAT aiderait les portefeuilles à vérifier que le front-end d'une application inscrite correspond à son manifeste signé.
Prochaines étapes pour les équipes de portefeuilles et d'applications
L'intégration de cette vérification dans les portefeuilles nécessite une adoption des deux côtés. Les extensions de portefeuille doivent intégrer la bibliothèque, et les équipes d'applications doivent inscrire leurs domaines et fournir un manifeste signé à chaque version. Si vous faites partie d'une équipe de portefeuille ou d'application intéressée par l'intégrité du front-end, nous serions ravis d'échanger avec vous à l'adresse trilliondollarsecurity@ethereum.org.
Pour en savoir plus sur les contrôles des risques et les travaux prioritaires, rendez-vous sur trilliondollarsecurity.org.