Sáng kiến Trillion Dollar Security (1TS) của Tổ chức Ethereum tự hào công bố khoản phân bổ tài trợ cho Freedom of the Press Foundation (FPF) để hỗ trợ việc tiếp tục phát triển WEBCAT. WEBCAT là một công cụ mã nguồn mở cho phép các trình duyệt xác minh rằng mã được cung cấp bởi một trang web đã đăng ký khớp với những gì các nhà phát triển của nó đã xuất bản. Khoản tài trợ này cũng sẽ giúp mang lại sự bảo vệ đó cho các Ví và ứng dụng Ethereum.
Thu hẹp lỗ hổng xác minh front-end
Khoản tài trợ nhắm vào một lỗ hổng trong cách các ứng dụng web được bảo mật hiện nay. HTTPS xác thực trang web bạn kết nối và mã hóa kết nối, nhưng nó không chứng minh được rằng mã mà trang web cung cấp khớp với những gì các nhà phát triển của nó đã xuất bản. Nếu không có một bước kiểm tra tính toàn vẹn độc lập, trình duyệt có thể chạy một front-end đã bị thay đổi mà không có cảnh báo nào.
Đối với người dùng Ethereum, rủi ro nằm ở chính trang web của ứng dụng. Trình duyệt của bạn tải và thực thi mã của trang web khi bạn truy cập. Mã bị giả mạo ở đó có thể hoán đổi Địa chỉ người nhận hoặc yêu cầu bạn ký một thứ gì đó khác với những gì trang hiển thị. Ví của bạn không thể chỉ dựa vào kết nối để xác định xem trang đã bị thay đổi hay chưa.
Trillion Dollar Security đã xác định các vụ hack front-end là một rủi ro cơ sở hạ tầng và các front-end có thể xác minh được là bước tiếp theo. Các giao diện web bị xâm phạm có thể khiến người dùng gặp phải các cuộc tấn công chuỗi cung ứng và thao túng giao diện người dùng (UI), đồng thời có thể làm tăng tác động của các sự cố như tấn công cướp quyền điều khiển DNS.
Về WEBCAT
WEBCAT, viết tắt của web-based code assurance and transparency (đảm bảo và minh bạch mã dựa trên web), cho phép trình duyệt xác minh rằng các tài nguyên được cung cấp bởi một trang web đã đăng ký khớp với một tệp kê khai (manifest) đã được ký. Nếu quá trình xác minh thất bại, tiện ích mở rộng Firefox phiên bản alpha hiện tại sẽ ngăn trang tải và hiển thị cảnh báo.
Các nhà phát triển ký một tệp kê khai mô tả các tệp và tài sản khác có trong mỗi bản phát hành. Một hệ thống đăng ký phân tán, có thể xác minh duy trì một bản ghi công khai. Đối với mỗi trang web tham gia, bản ghi đó chứa một dấu vân tay mật mã của thông tin đăng ký, chỉ định các danh tính được ủy quyền cho việc ký và các quy tắc xác thực của trang web. Tiện ích mở rộng định kỳ tải xuống và xác minh một Snapshot của bản ghi, vì vậy nó có thể xác minh các trang web đã đăng ký cục bộ mà không cần liên hệ với bên thứ ba trong mỗi lần truy cập.
FPF đã phát triển WEBCAT một phần vì phiên bản tương lai của SecureDrop sẽ cần mã trình duyệt có thể xác minh được. SecureDrop là hệ thống gửi mã nguồn mở của FPF để liên lạc an toàn giữa các nhà báo và các nguồn ẩn danh.
Hiện nay, SecureDrop mã hóa các nội dung gửi đến trên máy chủ của tòa soạn khi chúng được tải lên. Máy chủ xử lý nội dung chưa được mã hóa trong quá trình tải lên nhưng lưu trữ các nội dung gửi đến dưới dạng đã mã hóa. FPF đang phát triển một Giao thức mã hóa đầu cuối cho phiên bản tương lai của SecureDrop. Theo thiết kế dự kiến, trình duyệt của nguồn tin sẽ mã hóa nội dung thông điệp trước khi gửi, do đó máy chủ sẽ lưu trữ bản mã (ciphertext) thay vì giữ bản rõ (plaintext) trong bộ nhớ cho đến khi được máy chủ mã hóa. Giao thức này vẫn đang được phát triển và chưa bao gồm các tệp đính kèm.
Vì mã mã hóa vẫn sẽ đến từ máy chủ, một máy chủ bị xâm phạm có thể gửi mã đã bị thay đổi để đánh cắp nội dung trước khi mã hóa. WEBCAT được thiết kế để phát hiện và ngăn chặn loại thay đổi đó. FPF cũng đã thử nghiệm WEBCAT với các ứng dụng bảo mật dựa trên trình duyệt khác thông qua các tích hợp bằng chứng khái niệm (proof-of-concept).
Rủi ro về tính toàn vẹn của mã tương tự cũng áp dụng khi người dùng Ethereum tương tác với các front-end của ứng dụng dựa trên trình duyệt, đó là lý do tại sao một công cụ được xây dựng để bảo vệ các nguồn tin và nhà báo cũng phù hợp với các Ví và ứng dụng.
Khoản tài trợ này tài trợ cho những gì
Khoản tài trợ này tài trợ cho việc phát triển một Thư viện xác minh WEBCAT mà các Ví có thể tích hợp.
Một Ví bao gồm Thư viện này có thể xác minh các trang web đã đăng ký, vì vậy người dùng nhận được sự bảo vệ mà không cần cài đặt một tiện ích mở rộng riêng biệt. Khoản tài trợ cũng tài trợ cho việc nghiên cứu hỗ trợ Chrome và các trình duyệt Chromium khác, hỗ trợ các nhóm thêm WEBCAT vào ứng dụng của họ, một cuộc kiểm toán bảo mật độc lập và một tiêu chuẩn Ethereum Request for Comments (ERC) để các nhà phát triển Ví có một tiêu chuẩn để tuân theo.
Thư viện này sẽ bổ sung cho các công việc khác của 1TS, bao gồm Clear Signing. Clear Signing giúp người dùng hiểu những gì họ đang phê duyệt, trong khi việc tích hợp WEBCAT sẽ giúp các Ví xác minh rằng front-end của một ứng dụng đã đăng ký khớp với tệp kê khai đã ký của nó.
Bước tiếp theo cho các nhóm phát triển Ví và ứng dụng
Việc đưa tính năng xác minh này vào các Ví đòi hỏi sự áp dụng từ cả hai phía. Các tiện ích mở rộng của Ví phải tích hợp Thư viện, và các nhóm ứng dụng phải đăng ký tên miền của họ và cung cấp một tệp kê khai đã ký với mỗi bản phát hành. Nếu bạn là thành viên của một nhóm phát triển Ví hoặc ứng dụng quan tâm đến tính toàn vẹn của front-end, chúng tôi rất muốn lắng nghe ý kiến của bạn tại trilliondollarsecurity@ethereum.org.
Đọc thêm về các biện pháp kiểm soát rủi ro và công việc ưu tiên tại trilliondollarsecurity.org.