คู่มือด้านความปลอดภัย: วิธีป้องกันช่องโหว่ของตัวกระเป๋า MetaMask ในเบราว์เซอร์

หัวข้อเรื่องต้นฉบับ: "ทำไมคุณควรระวังผลกระทบจากช่องโหว่ความปลอดภัยของกระเป๋าเงิน MetaMask บนเบราว์เซอร์"

ที่มาของข้อมูลเรื่อง: DeFi 之道

หมายเหตุ: ในตีวันเวลาปัจจุบันของปักษา วันที่ 16 มิถุนายน, นักพัฒนาโดย ConsenSys Dan Finlay  ได้เปิดเผยช่องโหว่ความปลอดภัยในกระเป๋าเงินส่วนต่อขยายของ MetaMask ซึ่งอาจทำให้ทรัพย์สินในกระเป๋าเงินของผู้ใช้บางรายอยู่ในอันตรายจากการถูกขโมย สำหรับปัญหานี้, เขาให้คำแนะนำด้านความปลอดภัยบางด้าน

นักวิจัยจาก Halborn ได้ค้นพบเหตุการณ์ที่ในกรณีที่มีอย่างหนึ่งบนเครื่องฟอร์มแผ่นดิสก์พบว่ามีคีย์ผู้ใช้ที่ไม่ไ่ฟ์มัขอนาค, ปัญหานี้ได้รับการแก้ไขในเวอร์ชั่น 10.11.3 ของกระเป๋าเงินส่วนต่อขยายของ MetaMask และเวอร์ชั่นที่สูงกว่า

ประวัติ

นักวิจัยด้านความปลอดภัยของ Halborn เปิดเผยตัวอย่างหนึ่งที่ในบางกรณีสามารถดึงข้อมูลคำบรรยายคำช่วยเหลือที่ใช้โดยกระเป๋าเงินเว็บเช่น MetaMask จากดิสก์คอมพิวเตอร์ที่ถูกโจมตี

เนื้อหาต่อไปนี้จะไม่มีผลต่อผู้ใช้ MetaMask บนโทรศัพท์เคลื่อนที่ แต่จะมีผลต่อบางส่วนของผู้ใช้ส่วนต่อขยายของ MetaMask บนเบราว์เซอร์และผู้ใช้กระเป๋าเงิน/ส่วนต่อขยายในเบราวเซอร์อื่น ๆ ที่อาจ็ีถูกโจมตี เราไดรมีมรายการการป้องกถัตการ ดังนั้นส่วนต่อขยายของ MetaMask ซึ่งเวอร์ชั่น 10.11.3 และเวอร์ชั่นที่สูงกว่า เข้าใจถานได้ดูแลแน่นอนหมายเหตุว่าถ้าคุณตอบสอกุกว่า 3 เงื่อนไขดัก้แสการเกิดขบ้อัษซนบนเครื่องคุณอาจอยู่ในอันตราย. คุณควรอ่านเนื้อหารางการลำ้งถัดไป:

1. ฮาร์ดดิสก์ของคุณไม่ได้เอนคริปชัน; 2. คุณไดำนำขำยเหอวจำดทำกระเป๋าเงินของคุณไปยังอยู่บนเครื่องที่ถูกโจมตีตจั้งกคุ่ะ หรือคุณมีขำวเร้ทบำนเครื่องคอมพิวเตอร์ของคุณคู่ดัวน็ีให้นี ในขั้ถุหงขนำนัน คุณใช้ชำง'ดำยผบือคำช่วยเหลือ' (Show Secret Recovery Phrase) ในชำอุดหนดบ้านงานบนอาร์ดขำอนดี

ผลกระทบ

มีผลกระทบต่อ:

1. ระบบปฏิบัติการบนคอมพิวเตอร์ทั้งหมดที่เราทดสอบ และเบราว์เซอร์

2. เราได้ทดสอบด้วย Google Chrome, Chromium และ Firefox บน Windows, macOS และ Linux

3. กระเป๋าเงิน MetaMask บนทุกเวอร์ชั่นของทุกๆ เวอร์ชั่นของเบราว์เซอร์ (ก่อน v10.11.3)

แต่ช่องโหว่นี้จะไม่มีผลต่อกระเป๋าเงินของ MetaMask บนมือถือ

คำใบ้จำเป็นจะถูกลบออกจากปัจจุบัน เราไม่สามารถรับประกันได้ว่าจะเกิดเมื่อไหร่

ช่องโหว่นี้มีโอกาสสูงที่จะมีผลต่อผู้ใช้ที่ถูกบุกรุกหรือถูกขโมยอุปกรณ์ของตนเองไม่นานหลังจากนำคำใบ้มานำเข้า MetaMask

หากคุณตรงตามเงื่อนไขข้างต้นทั้งหมด บุคคลที่สามารถเข้าถึงเครื่องคอมพิวเตอร์ของคุณอาจสามารถเข้าถึงคำใบ้ของคุณ ดังนั้นคุณควรพิจารณาที่จะย้ายเงินออกจากบัญชีเหล่านั้นเพื่อความปลอดภัยของคุณ เราได้เตรียมคู่มือในการย้ายเงินโดยใช้เครื่องมือย้ายจากบุคคลที่สาม และหมายเหตุว่าการใช้เครื่องมือย้ายจากบุคคลที่สามเสมอมีความเสี่ยงในการรับผิด

โปรดทราบว่าบุคคลหรือซอฟต์แวร์ที่สามารถเข้าถึงเครื่องคอมพิวเตอร์ของคุณอาจใช้ช่องโหว่นี้ในการโจมตี และหากอุปกรณ์ของคุณได้รับการโจมตีด้วยซอฟต์แวร์ที่เป็นอันตราย บางการโจมตีจะไม่สามารถป้องกันได้ (เช่น การบันทึกคีย์บอร์ด การเข้าถึงหน่วยความจำโดยตรง และควบคุมโปรแกรม)

หากคุณคิดว่าตนเองอาจตกเป็นเป้าหมายของการโจมตีนี้

หากคุณคิดว่าเครื่องคอมพิวเตอร์ของคุณอาจได้รับความเสี่ยงจากบุคคลที่คุณไม่ไว้ใจ เราขอแนะนำให้เปิดใช้งาน "การเข้ารหัสดิสก์รวม" บนระบบของคุณ และนอกจากนี้หากทรัพย์สินของคุณถูกบริหารโดยกระเป๋าเงินฮาร์ดแวร์ คุณจะไม่ได้รับผลกระทบจากช่องโหว่นี้

ผู้ใช้ที่ได้รับผลกระทบควรพิจารณาในการย้ายเงินจากบัญชีกระเป๋าเงินเก่าไปยังที่อยู่กระเป๋าเงินใหม่

ส่วนอื่นๆ ของเอกสารนี้จะให้ข้อมูลสาระสำคัญเพิ่มเติม และคำแนะนำเกี่ยวกับวิธีป้องกันความปลอดภัยของกระเป๋าเงินของคุณ ในอนาคตเราจะเปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับลักษณะของปัญหาเพื่อให้นักพัฒนาซอฟต์แวร์คนอื่นๆ สามารถหลีกเลี่ยงปัญหาเหล่านี้ด้วยตนเอง แต่ก่อนอื่นเราต้องการเตือนผู้ใช้ เพื่อลดความเสี่ยงจนถึงขีดสุด

ข้อมูลเพิ่มเติม

จากข้อความข้างต้น เมื่อเครื่องคอมพิวเตอร์ของคุณได้รับการลุกล้างโดยซอฟต์แวร์ (ไม่ว่าจะเป็นภัยคุกคามทางสังคมหรือไวรัส) คุณจะไม่สามารถรับรองความปลอดภัยของโปรแกรมใดๆ ที่กำลังทำงานบนเครื่องนั้น

นี่คือปัญหาที่ทีมงานผู้พัฒนาระบบการจัดการรหัสผ่านยอดนิยม 1 Password ได้รับการรับรองและอภิปรายไปแล้ว โดย Jeffrey Goldberg ศูนย์กลยุทธ์ด้านความปลอดภัยหลักของ 1 Password ได้อภิปรายเกี่ยวกับความยากลำบากในการแก้ปัญหานี้ โดยเขากล่าวว่า:

「นี่เป็นปัญหาที่ทราบกันอยู่ก่อนหน้านี้ มีการอภิปรายปัญหานี้แล้วก็หลายครั้ง แต่วิธีการแก้ไขใดๆ ที่ดูเหมาะสมก็อาจจะแย่กว่าปัญหานี้เอง」

หากคุณใช้ระบบการจัดการรหัสผ่าน คุณอาจจะปลอดภัยกว่าคนที่ไม่ได้ใช้ระบบการจัดการรหัสผ่าน แต่แม้แต่จะใช้ระบบการจัดการรหัสผ่านแล้ว ก็ยังไม่สามารถหลีกเลี่ยงปัญหาช่องโหว่ได้

สรุป

สุดท้ายเราเข้าใจว่า การป้องกันความปลอดภัยของระบบการเข้ารหัสรหัสผ่านของเรา จะได้รับผลกระทบจากพฤติกรรมของเบราว์เซอร์ โดยเนื่องจากเบราว์เซอร์เองไม่เห็นว่าการโจมตีด้านกายภาพเป็นสิ่งที่เสี่ยงอุปกรณ์ของมัน เราต้องระบุได้ว่าการลดขอบเขตของการโจมตีนี้ต้องใช้ทรัพยากรมนุษย์เป็นจำนวนมาก และอาจจะไม่สามารถลดความเสี่ยงจากการโจมตีนี้ได้อย่างสมบูรณ์ น่าเสียดายว่าเท่านั้นว่าแค่การ「เข้ารหัสทั้งดิสก์」เท่านั้นจึงสามารถให้ความปลอดภัยให้กับคอมพิวเตอร์ของคุณในการเข้าถึงด้านการเข้าคอมพิวเตอร์อย่างมีประสิทธิภาพ

โดยทั่วไปแล้ว คอมพิวเตอร์/เบราว์เซอร์เป็นอันสมชื่อในการจัดเก็บข้อความของใช้งานในระดับหนึ่ง อย่างไรก็ตาม เนื่องจากความสำคัญขึ้นของการป้องกันการเข้าถึงหินจดจำของคุณ จึงจำเป็นต้องให้ความสนใจในสถานการณ์เฉพาะนี้เพื่อให้ผู้ใช้สามารถดำเนินการได้ตามสถานการณ์

โชคดีที่รหัสผ่านยังคงมีความปลอดภัยอยู่ที่นี่หนึ่งระดับ ทางเราพบว่า เราสามารถแยกชีวิต ในกรณีที่เฉพาะเจาะจงได้เท่านั้น และเราได้นำมาใช้ในระยะเวลาที่ Halborn กำลังรอการเปิดเผย และเราวางแผนที่จะนำมาใช้ในเหล่านี้มากขึ้นเพื่อลดความเสี่ยงมากขึ้น ซึ่งหมายความว่าถ้าหากคุณไม่ได้ใช้กระเป๋าเงินของตนเอง (หรือมอบคอมพิวเตอร์ของคุณให้ผู้อื่น) การล็อคกระเป๋าเงินยังคงเป็นนิสัยที่ดี

บางข้อสำคัญ:

1. กรุณาใช้เวลาทำการเข้ารหัสดิสก์ทั้งตัวคอมพิวเตอร์ของคุณ นี่คือวิธีเดียวในการทำให้คอมพิวเตอร์ของคุณไม่สามารถถูกดึงข้อมูลทั้งหมดออกไปจากบุคคลที่มีสิทธิ์ในการเข้าถึงซึ่งเราแนะนำให้ผู้ใช้ใช้กระเป๋าเงินฮาร์ดแวร์เป็นมาตรการความปลอดภัยเสริมอีกด้วย

2. ล้างข้อมูลแคชของเบราวเซอร์ของคุณ (การวิจัยของเราพบว่า บางกรณีอาจช่วยเหลือบางบุคคล)

3. โปรดจำไว้ว่า การรักษาความปลอดภัยของคอมพิวเตอร์เป็นหน้าที่ของคุณ หากมีภัยคุกคามเข้าถึงระบบของคุณ ไม่มีกระเป๋าเงินหรือซอร์ฟต์แวร์ใดๆสามารถรับประกันความปลอดภัยของตัวมันเอง ให้เวลาให้เรียนรู้ว่าเราจะป้องกันคอมพิวเตอร์ของเราไม่ให้อยู่ในแอ็คทริบิวต้ง.

ด้านล่างนี้คือคำแนะนำเพื่อให้ระบบปฏิบัติการต่าง ๆ ปลอดภัย:

Windows

‌Mac

‌iOS‌

Linux‌

ในที่สุด ทีมงานของ Halborn ได้เปิดเผยข้อนี้อย่างมีรับผิดชอบ และเราขอขอบคุณพวกเขาสำหรับความพยายามทุกอย่างที่พวกเขาได้ทำเพื่อปกป้องอุตสาหกรรมนี้ เรามอบรางวัลทีม Halborn ด้วยเงินรางวัล 5 หมื่นดอลลาร์

ลิงก์เชิงรายงาน

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia