Mpango wa Trillion Dollar Security (1TS) wa Taasisi ya Ethereum unajivunia kutangaza mgao wa ruzuku kwa Freedom of the Press Foundation (FPF) ili kusaidia uendelezaji unaoendelea wa WEBCAT. WEBCAT ni zana ya chanzo wazi inayoruhusu vivinjari kuthibitisha kuwa msimbo unaotolewa na tovuti iliyosajiliwa unalingana na kile ambacho wasanidi wake walichapisha. Ruzuku hii pia itasaidia kuleta ulinzi huo kwenye mikoba na programu za Ethereum.
Kuziba pengo la uthibitishaji wa mbele (front-end)
Ruzuku hii inalenga pengo katika jinsi programu za wavuti zinavyolindwa leo. HTTPS huthibitisha tovuti unayounganisha nayo na kusimba fiche muunganisho, lakini haithibitishi kuwa msimbo unaotolewa na tovuti unalingana na kile ambacho wasanidi wake walichapisha. Bila ukaguzi huru wa uadilifu, kivinjari kinaweza kuendesha sehemu ya mbele (front end) iliyobadilishwa bila onyo.
Kwa watumiaji wa Ethereum, hatari ipo kwenye tovuti ya programu yenyewe. Kivinjari chako hupakia na kutekeleza msimbo wa tovuti unapoitembelea. Msimbo ulioingiliwa hapo unaweza kufanya badilishano la anwani ya mpokeaji au kukuuliza kusaini kitu tofauti na kile ambacho ukurasa ulionyesha. Mkoba wako hauwezi kutambua kutokana na muunganisho pekee ikiwa ukurasa umebadilishwa.
Trillion Dollar Security imetambua udukuzi wa sehemu ya mbele kama hatari ya miundombinu na sehemu za mbele zinazoweza kuthibitishwa kama hatua inayofuata. Miingiliano ya wavuti iliyoathiriwa inaweza kuweka watumiaji kwenye hatari ya mashambulizi ya mnyororo wa usambazaji na uchezeshaji wa UI, na inaweza kuongeza athari za matukio kama vile utekaji nyara wa DNS.
Kuhusu WEBCAT
WEBCAT, kifupi cha uhakikisho wa msimbo unaotegemea wavuti na uwazi (web-based code assurance and transparency), inaruhusu kivinjari kuthibitisha kuwa rasilimali zinazotolewa na tovuti iliyosajiliwa zinalingana na faili la maelezo (manifest) lililosainiwa. Ikiwa uthibitishaji utashindwa, kiendelezi cha sasa cha alpha cha Firefox huzuia ukurasa kupakia na kuonyesha onyo.
Wasanidi husaini faili la maelezo linaloelezea faili na rasilimali nyingine zinazojumuishwa katika kila toleo. Mfumo wa usajili uliosambazwa na unaoweza kuthibitishwa hudumisha rekodi ya umma. Kwa kila tovuti inayoshiriki, rekodi hiyo inashikilia alama ya vidole ya kriptografia ya taarifa za usajili inayobainisha vitambulisho vilivyoidhinishwa vya kusaini vya tovuti na sheria za uthibitishaji. Kiendelezi hupakua na kuthibitisha nakala ya papo hapo ya rekodi mara kwa mara, ili kiweze kuthibitisha tovuti zilizosajiliwa ndani ya kifaa bila kuwasiliana na mhusika wa tatu katika kila ziara.
FPF ilitengeneza WEBCAT kwa kiasi fulani kwa sababu toleo la baadaye la SecureDrop litahitaji msimbo wa kivinjari unaoweza kuthibitishwa. SecureDrop ni mfumo wa uwasilishaji wa chanzo wazi wa FPF kwa ajili ya mawasiliano salama kati ya waandishi wa habari na vyanzo visivyojulikana.
Leo, SecureDrop hufanya usimbaji fiche wa mawasilisho kwenye seva ya chumba cha habari yanapopakiwa. Seva hushughulikia maudhui ambayo hayajasimbwa fiche wakati wa upakiaji lakini huhifadhi mawasilisho katika muundo uliosimbwa fiche. FPF inatengeneza itifaki ya usimbaji fiche wa mwisho hadi mwisho kwa toleo la baadaye la SecureDrop. Chini ya muundo uliokusudiwa, kivinjari cha chanzo kitafanya usimbaji fiche wa maudhui ya ujumbe kabla ya kuutuma, ili seva ihifadhi maandishi yaliyosimbwa (ciphertext) badala ya kushikilia maandishi wazi (plaintext) kwenye kumbukumbu hadi yasimbwe fiche na seva. Itifaki hii bado inatengenezwa na bado haijumuishi viambatisho vya faili.
Kwa sababu msimbo wa usimbaji fiche bado ungetoka kwenye seva, seva iliyoathiriwa inaweza kutuma msimbo uliobadilishwa ambao unanasa maudhui kabla ya usimbaji fiche. WEBCAT inakusudiwa kugundua na kuzuia aina hiyo ya mabadiliko. FPF pia imejaribu WEBCAT na programu nyingine salama zinazotegemea kivinjari kupitia miunganisho ya uthibitisho wa dhana (proof-of-concept).
Hatari hiyo hiyo ya uadilifu wa msimbo inatumika wakati watumiaji wa Ethereum wanapoingiliana na sehemu za mbele za programu zinazotegemea kivinjari, ndiyo maana zana iliyojengwa kulinda vyanzo na waandishi wa habari pia inafaa kwa mikoba na programu.
Kile ambacho ruzuku inafadhili
Ruzuku inafadhili uendelezaji wa maktaba ya uthibitishaji ya WEBCAT ambayo mikoba inaweza kuiunganisha.
Mkoba unaojumuisha maktaba unaweza kuthibitisha tovuti zilizosajiliwa, hivyo watumiaji hupata ulinzi bila kusakinisha kiendelezi tofauti. Ruzuku pia inafadhili utafiti wa kusaidia Chrome na vivinjari vingine vya Chromium, msaada kwa timu zinazoongeza WEBCAT kwenye programu zao, ukaguzi huru wa usalama, na kiwango cha Ethereum Request for Comments (ERC) ili wasanidi wa mikoba wawe na kiwango cha kufuata.
Maktaba hii itakamilisha kazi nyingine za 1TS, ikiwa ni pamoja na Kusaini kwa Uwazi. Kusaini kwa Uwazi huwasaidia watumiaji kuelewa kile wanachoidhinisha, huku muunganisho wa WEBCAT ungesaidia mikoba kuthibitisha kuwa sehemu ya mbele ya programu iliyosajiliwa inalingana na faili lake la maelezo lililosainiwa.
Nini kinafuata kwa timu za mikoba na programu
Kuleta uthibitishaji huu kwenye mikoba kunahitaji kupitishwa kwa pande zote mbili. Viendelezi vya mikoba lazima viunganishe maktaba, na timu za programu lazima zisajili vikoa vyao na kutoa faili la maelezo lililosainiwa kwa kila toleo. Ikiwa wewe ni sehemu ya timu ya mkoba au programu inayovutiwa na uadilifu wa sehemu ya mbele, tungependa kusikia kutoka kwako kupitia trilliondollarsecurity@ethereum.org.
Soma zaidi kuhusu udhibiti wa hatari na kazi za kipaumbele kwenye trilliondollarsecurity.org.