Cointime

扫码下载App
iOS & Android

如何构建安全的去中心化应用程序 ?

个人专家

作者:Alexander Nazarov. 编译:Cointime:QDD.

理解dApp安全

安全性应该是dApp生命周期的关键考虑因素。然而,我们的重点将放在软件开发过程上,承认从开发的早期阶段就需要采取积极的安全措施。从一开始就将安全措施纳入其中,比在事后添加更容易且更经济有效。

为确保一个安全的应用程序,基本原则是遵循保密性、完整性和可用性等主要安全原则。应用程序必须安全地管理敏感信息,提供准确的信息,彻底验证输入并抵御外部操纵。这些原则构成了基线。每个应用程序的安全要求都是独特的,应该认真确定,考虑业务目标、技术限制和其他相关因素。

的确,了解哪些方面与你的系统相关可能具有挑战性。因此,在开发的初始阶段,培养对正在构建的产品的全面了解至关重要。对用户期望、潜在的负面影响、所需行为以及在不理想的情况下可能出现的不良结果进行关键问题的提问。这种询问有助于定义明确的安全目标,并确定需要重点关注的领域。

在这种理解的基础上,你可以继续设计你的应用程序。评估应用程序的特性、其实现方式和与预先设定的目标的一致性。在这个阶段,仔细审查每个架构和技术决策。不要轻易接受诸如“X是做Y的最安全方式”之类的陈述,而应该进行批判性的评估。在安全方面,没有一个适用于所有情况的解决方案。深入了解你正在使用的技术的优势和劣势,确保其在特定用例中的有效实施。

最后,全面的文档记录是至关重要的。记录你的决策和发现的弱点,可以为开发人员和安全专业人员提供宝贵的指导,引导他们将注意力集中在最需要的地方。

通过我们全面的dApp审核,确保离链组件与区块链网络之间的安全互动

实际中保护不同类型的dApp   虽然理论上可能很简单,但实施安全措施可能是具有挑战性的。因此,我们建议遵循公认的威胁建模框架,例如“攻击模拟和威胁分析过程”(PASTA)。这个线性的七阶段框架有助于系统化你的安全方法,与我们之前强调的原则密切相关:

1. 定义目标 2. 定义技术范围 3. 分解应用程序 4. 分析威胁 5. 漏洞分析 6. 攻击分析 7. 风险和影响分析

根据你的应用类型,其他指南可能会有所不同。因此,考虑到不同类型的dApp及其相关风险,我们为流行的dApp用例提供了建议。

非托管钱包的安全提示

这种类型的钱包直接访问私钥,并负责其安全保管,使你完全拥有资产的所有权。这种钱包的例子包括MetaMask、HackenAI和MyEtherWallet。

在这种情况下,主要的安全考虑应该是钱包存储的私钥或种子的安全性:

密钥应该被正确加密,只有在设计上并已明确告知用户的情况下才离开应用程序。     应仔细分析和验证与密钥的每次交互,以确保逻辑正确且正确实现。我们还建议进行单元测试以自动完成此操作。     调试或监视机制不应访问钱包存储的敏感数据。     还应考虑特定平台的弱点。例如,应用程序在移动端、桌面端、Web端或作为Web扩展运行,将产生显著差异。

跨链桥的安全提示

当查看跨链桥的一部分的离链服务器应用程序时,我们可以强调它们通常具有的特定责任:

1. 验证在区块链上发生了某个事件。

2. 将外部信息传输到区块链。

这些特性是主要的安全考虑因素。但是,当然,如果适用于你的情况,你还应考虑其他系统特定的问题,例如私钥安全。

在决定考虑某些事情是否确认时,应基于来自不同数据提供者的信息,并经过验证。例如,系统可以要求多个验证器的签名才能接受跨链转移为有效。在这种情况下,每个验证器使用不同的区块链节点也是必要的,退回到具有多个独立数据源的同一原则。请参见“CWE-1293多个独立数据缺少来源关联”以更好地了解此问题。

我们还鼓励你阅读“跨链互操作性和安全性”报告,以更好地了解生态系统的整体状况。

区块链浏览器的安全提示

当某人想查看他们进行的转账状态时,浏览器是第一个停靠点。它们是当前存在的最常用的dApp,但可以说在安全性和它们对加密货币用户日常生活的影响上最容易被忽视。它们提供有关区块链的有价值的信息,并显着简化了整个用户体验,但这是以集中化的成本为代价。当然,这并不是一个完全的问题,但仍然需要考虑。

在这种情况下,主要的安全关注点是浏览器提供的信息的完整性和网站用户的安全性。

区块链浏览器应该从不同的区块链节点收集和比较信息,以降低被受损节点影响系统的风险。 从区块链中收集的信息应视为用户输入,而不是完全可信的信息。 包含索引数据的数据库应对外部操纵具有抗性。 网站的安全性应具有为敏感信息网站设计的常规安全措施。当你考虑用户使用网站验证交易和开展业务时,这是必要的。

我们还建议在使用区块链浏览器作为区块链信息源时要谨慎,尤其是如果它是系统中的唯一数据源。不幸的是,在撰写本文时,我们尚未找到任何一个区块链浏览器会在服务协议层面提供提供不准确信息的责任。

针对连接网站的安全提示

这些网站使用第三方服务,通常是插入或连接钱包,与区块链通信,它们不存储或有权访问用户的私钥。因此,它们已通过不要求对用户资产进行保管而消除了重大的安全风险,留下我们关注较不紧迫但仍然至关重要的安全考虑因素。

在这种情况下,用户的隐私和常规Web安全是主要的安全关注点。

尽管大多数区块链生态系统本身都建立在透明度上,但普遍认为,如果用户愿意,他们应该能够保持隐私。基于这种假设,网站应限制他们收集可能创建用户身份和在线存在之间联系的信息,或向用户传达这种情况并提供保障。这些问题包括但不限于IP地址、地理位置、个人详细信息和其他可能可识别信息。

总结

总之,dApp安全是一个主动的过程,从你的应用程序的设计和开发开始,持续到其生命周期结束。这个综合策略应包括识别独特的安全要求,批判性地评估设计决策,并记录已知的弱点以备后续参考。通过以安全为重心的心态开始,并利用强大的审计服务,例如dApp AuditSmart Contract Audit,你可以构建一个更安全、更强大和更用户友好的dApp。

评论

所有评论

推荐阅读

  • IPO在即,灰度创始人Barry Silbert回归出任董事会主席

    Grayscale Investments 在提交保密 IPO 申请后,宣布四项高管任命并迎回创始人 Barry Silbert 担任董事会主席。新任命的高管包括:首席运营官 Diana Zhang、首席营销官拉蒙娜·波士顿 Ramona Boston、首席传讯官 Andrea Williams、首席人力资源官 Maxwell Rosenthal。四位高管都将向灰度首席执行官 Peter Mintzberg 汇报,他们均来自传统金融巨头,包括桥水基金、阿波罗全球管理、高盛和城堡投资。 Barry Silbert 于 2013 年创立灰度,于 2023 年底辞去灰度董事长一职,此次将接替 Mark Shifke 担任董事会主席,Shifke 将继续留任董事会,目前董事会成员已增至五人。公司表示正在考虑增加独立董事。 Barry Silbert 表示:「我很荣幸能够在公司乃至更广泛的数字资产生态系统的关键时刻重新加入灰度董事会。我始终坚信公司的长期定位以及引领公司前进的领导团队。」

  • SharpLink Gaming增持18,680枚以太坊,总持有498,884枚

    据链上分析师 Onchain Lens 监测,SharpLink Gaming(股票代码:SBET)今日再次增持18,680枚以太坊,价值约6,663万美元。此次增持后,该公司以太坊储备总量达到498,884枚,总价值约18亿美元。

  • Bullish向美国证交会提交IPO申请,拟募资6.29亿美元

    数字资产交易所Bullish及其子公司CoinDesk已向美国证券交易委员会(SEC)提交首次公开募股(IPO)申请。根据申请文件,Bullish计划发行2030万股,发行价区间为28-31美元/股,最高募资金额为6.29亿美元,对应公司估值约42亿美元。 Bullish业务范围包括数字资产现货交易、杠杆交易和衍生品交易,同时为稳定币发行机构提供流动性服务。财务数据显示,该公司2025年第一季度数字资产销售额达8020万美元,净亏损3.49亿美元。Bullish曾于2023年以7260万美元收购加密货币媒体平台CoinDesk。

  • 欧盟将对美国的贸易反制措施暂停6个月

    市场消息:欧盟将对美国的贸易反制措施暂停6个月

  • 去中心化操作系统 OpenMind 完成 2000 万美元融资,Pantera Capital 领投

    智能机器去中心化操作系统 OpenMind 宣布完成 2000 万美元融资,Pantera Capital 领投,Coinbase Ventures、Digital Currency Group 和 Ribbit 等参投。 据悉,这家初创公司正在开发一款名为 FABRIC 的“硬件无关”操作系统,旨在支持“智能机器融入日常生活”。该协议为支持人工智能的机器人提供了一种通信和协调的方式。

  • 加强个人境外收入监管 境外买卖股票收入也要缴税

    《金融时报》刊文,据了解,近期有纳税人收到了税务部门通知,告知其需要依法办理境外所得申报并缴纳相应税款。“根据我国个人所得税法,个人股票交易所得属于财产转让所得,应当适用20%的税率按次征收。其中,个人在境内二级市场的股票交易所得暂免征收个人所得税;在境外直接进行股票交易所得没有免税规定,需要在取得所得的次年申报纳税。”吉林财经大学税务学院院长张巍解释说。为了更加合理的征收,我国税务部门在征管时,允许纳税人按照纳税年度盈亏相抵,但不允许跨年互抵。依法纳税是每个公民应尽的义务。个人未申报或者未如实申报境外所得,除了会被税务机关要求补缴税款外,还会被加收滞纳金,情形严重的还可能被稽查部门立案检查,将面临税务处罚。纳税人如果发现自己此前申报个税时,存在少报、漏报境外所得的,要及时补正。

  • 美国SEC文件显示特斯拉批准向马斯克授予9600万股股票奖励

    美国SEC文件显示:特斯拉(TSLA.O)批准向马斯克授予9600万股股票奖励,马斯克将按每股23.34美元的价格购买已获授股票。

  • Binance Alpha:持有至少 200 币安 Alpha 积分的用户可申领 1000 个 DARK 代币空投

    据官方公告,Binance Alpha 是首个上线 DarkStar(DARK)的平台,Alpha 交易将于 2025 年 8 月 4 日 20:00(UTC+8)开始。 交易开始后,持有至少 200 个币安 Alpha 积分的用户可申领 1000 个 DARK 代币空投。先到先得。若活动未结束,则分数门槛将每小时自动降低 15 分。 请注意,申领空投将消耗 15 个币安 Alpha 积分。用户需在 Alpha 活动页面于 24 小时内确认申领,否则视为放弃领取空投。

  • 香港《稳定币条例》正式生效:储备资产须全额覆盖流通面值

    8月1日,香港《稳定币条例》正式生效,建立起稳定币发行人牌照制度,完善香港对虚拟资产活动的监管框架。大湾区国际资讯科技协会会长杨德斌表示,如今国际上稳定币的发展已经达到一定规模。香港在这个时点推出《稳定币条例》,是在监管方面与时俱进的体现。与国际标准接轨,中国香港在制定稳定币相关规定时也力求与全球其他国家和地区的标准接轨。根据香港《稳定币条例》,持牌人必须确保其发行的指定稳定币的储备资产的市值,始终不低于该类稳定币尚未赎回且流通中的面值。持牌人应考虑储备资产的风险状况,确保有适当的超额抵押以覆盖市场风险。

  • 分析师:降息预期升温与SEC新政共振,市场情绪回暖

    Kronos Research 首席投资官 Vincent Liu 表示,在宏观不确定性与机构买盘交织下,当前市场呈现「谨慎乐观」情绪。恐惧与贪婪指数趋向「贪婪」,鲸鱼买入与降息预期正推动交易员重新配置风险资产。 投资者正关注将于 8 月 12 日公布的美国 7 月 CPI 数据,作为下一轮加息或降息决策的关键指标。尽管美联储在 7 月 FOMC 会议上维持利率不变,鲍威尔表示 9 月降息仍取决于经济数据,但 CME 美联储观察数据显示,市场预期有逾 80% 概率将下调 0.25 个百分点。 此外,Liu 认为美国 SEC 启动的「Project Crypto」或将在中长期利好市场。该项目将通过明确代币分类与引入 DeFi 创新豁免机制,降低监管不确定性、推动 DeFi 增长,并增强市场信心。