Ethereum Vakfı'nın Trilyon Dolarlık Güvenlik (Trillion Dollar Security - 1TS) girişimi, WEBCAT'in sürekli gelişimini desteklemek amacıyla Freedom of the Press Foundation'a (FPF) bir hibe tahsis edildiğini duyurmaktan gurur duyar. WEBCAT, tarayıcıların kayıtlı bir web sitesi tarafından sunulan kodun, geliştiricilerinin yayınladığı kodla eşleştiğini doğrulamasına olanak tanıyan açık kaynaklı bir araçtır. Hibe ayrıca bu korumanın Ethereum cüzdanlarına ve uygulamalarına getirilmesine de yardımcı olacaktır.
Ön uç doğrulama açığını kapatmak
Hibe, günümüzde web uygulamalarının güvenliğinin sağlanma biçimindeki bir açığı hedefliyor. HTTPS, bağlandığınız sitenin kimliğini doğrular ve bağlantıyı şifreler, ancak sitenin sunduğu kodun geliştiricilerinin yayınladığı kodla eşleştiğini kanıtlamaz. Bağımsız bir bütünlük kontrolü olmadan, bir tarayıcı değiştirilmiş bir ön ucu hiçbir uyarı vermeden çalıştırabilir.
Ethereum kullanıcıları için risk, uygulamanın web sitesinin kendisinde yatmaktadır. Ziyaret ettiğinizde tarayıcınız sitenin kodunu yükler ve çalıştırır. Oradaki kurcalanmış kod, alıcı adresini takas edebilir veya sizden sayfanın gösterdiğinden farklı bir şeyi imzalamanızı isteyebilir. Cüzdanınız, sayfanın değiştirilip değiştirilmediğini yalnızca bağlantıdan belirleyemez.
Trilyon Dolarlık Güvenlik (1TS), ön uç hack'lerini bir altyapı riski ve doğrulanabilir ön uçları bir sonraki adım olarak belirlemiştir. Ele geçirilmiş web arayüzleri, kullanıcıları tedarik zinciri saldırılarına ve kullanıcı arayüzü (UI) manipülasyonuna maruz bırakabilir ve DNS ele geçirme gibi olayların etkisini artırabilir.
WEBCAT Hakkında
Web tabanlı kod güvencesi ve şeffaflığı (web-based code assurance and transparency) kelimelerinin kısaltması olan WEBCAT, bir tarayıcının kayıtlı bir site tarafından sunulan kaynakların imzalı bir manifestoyla eşleştiğini doğrulamasına olanak tanır. Doğrulama başarısız olursa, mevcut alfa Firefox eklentisi sayfanın yüklenmesini engeller ve bir uyarı görüntüler.
Geliştiriciler, her sürümün kapsadığı dosyaları ve diğer varlıkları açıklayan bir manifestoyu imzalarlar. Dağıtık, doğrulanabilir bir kayıt sistemi herkese açık bir kayıt tutar. Katılımcı her site için bu kayıt, sitenin yetkili imzalama kimliklerini ve doğrulama kurallarını belirten kayıt bilgilerinin kriptografik bir parmak izini tutar. Eklenti, kaydın bir snapshot'ını periyodik olarak indirir ve doğrular, böylece her ziyarette üçüncü bir tarafla iletişime geçmeden kayıtlı siteleri yerel olarak doğrulayabilir.
FPF, WEBCAT'i kısmen SecureDrop'un gelecekteki bir sürümünün doğrulanabilir tarayıcı koduna ihtiyaç duyacağı için geliştirdi. SecureDrop, gazeteciler ve anonim kaynaklar arasında güvenli iletişim için FPF'nin açık kaynaklı gönderim sistemidir.
Bugün SecureDrop, gönderileri haber merkezinin sunucusuna yüklendikleri sırada şifreler. Sunucu, yükleme sırasında şifrelenmemiş içeriği işler ancak gönderileri şifrelenmiş biçimde saklar. FPF, SecureDrop'un gelecekteki bir sürümü için uçtan uca bir şifreleme protokolü geliştiriyor. Hedeflenen tasarıma göre, kaynağın tarayıcısı mesaj içeriğini göndermeden önce şifreleyecek, böylece sunucu, kendisi tarafından şifrelenene kadar bellekte düz metin (plaintext) tutmak yerine şifreli metin (ciphertext) depolayacaktır. Protokol geliştirme aşamasındadır ve henüz dosya eklerini kapsamamaktadır.
Şifreleme kodu hala sunucudan geleceği için, ele geçirilmiş bir sunucu, içeriği şifrelemeden önce yakalayan değiştirilmiş bir kod gönderebilir. WEBCAT'in bu tür değişiklikleri tespit etmesi ve engellemesi amaçlanmaktadır. FPF ayrıca WEBCAT'i kavram kanıtı (proof-of-concept) entegrasyonları aracılığıyla diğer tarayıcı tabanlı güvenli uygulamalarla da test etmiştir.
Aynı kod bütünlüğü riski, Ethereum kullanıcıları tarayıcı tabanlı uygulama ön uçlarıyla etkileşime girdiğinde de geçerlidir; bu nedenle kaynakları ve gazetecileri korumak için oluşturulmuş bir araç cüzdanlara ve uygulamalara da uymaktadır.
Hibe neleri finanse ediyor
Hibe, cüzdanların entegre edebileceği bir WEBCAT doğrulama kütüphanesinin geliştirilmesini finanse etmektedir.
Kütüphaneyi içeren bir cüzdan, kayıtlı siteleri doğrulayabilir, böylece kullanıcılar ayrı bir eklenti yüklemeden bu korumaya sahip olurlar. Hibe ayrıca Chrome ve diğer Chromium tarayıcılarını desteklemeye yönelik araştırmaları, uygulamalarına WEBCAT ekleyen ekiplere yardımı, bağımsız bir güvenlik denetimini ve cüzdan geliştiricilerinin takip edebileceği bir standart olması için bir Ethereum Yorum Talebi (Ethereum Request for Comments - ERC) standardını finanse etmektedir.
Kütüphane, Clear Signing dahil olmak üzere diğer 1TS çalışmalarını tamamlayacaktır. Clear Signing, kullanıcıların neyi onayladıklarını anlamalarına yardımcı olurken, WEBCAT entegrasyonu cüzdanların kayıtlı bir uygulamanın ön ucunun imzalı manifestosuyla eşleştiğini doğrulamasına yardımcı olacaktır.
Cüzdan ve uygulama ekipleri için sırada ne var
Bu doğrulamayı cüzdanlara getirmek, her iki tarafın da benimsemesini gerektirir. Cüzdan eklentileri kütüphaneyi entegre etmeli ve uygulama ekipleri alan adlarını kaydettirip her sürümle birlikte imzalı bir manifesto sunmalıdır. Ön uç bütünlüğüyle ilgilenen bir cüzdan veya uygulama ekibinin parçasıysanız, trilliondollarsecurity@ethereum.org adresinden sizinle iletişime geçmekten memnuniyet duyarız.
Risk kontrolleri ve öncelikli çalışmalar hakkında daha fazla bilgiyi trilliondollarsecurity.org adresinden okuyabilirsiniz.