گزارش Forrester در مورد امنیت Web3 هشدار می دهد

نسل بعدی وب – Web3 – به عنوان امن تر از تجسم فعلی فضای مجازی مورد استقبال قرار گرفته است، اما گزارش روز سه شنبه هشدار می دهد که ممکن است اینطور نباشد.

بر اساس گزارشی از Forrester، یک شرکت تحقیقاتی فناوری ملی، در حالی که خراب کردن Web3 در سطح زیرساخت دشوار است، اما نقاط حمله دیگری نیز وجود دارد که ممکن است به عوامل تهدید فرصت آسیب بیشتری نسبت به وب باستانی بدهد.

برنامه های Web3، از جمله NFT، نه تنها در برابر حمله آسیب پذیر هستند. Forrester اظهار داشت که به دلیل ماهیت توزیع شده بلاک چین، اغلب سطح حمله گسترده تری را نسبت به برنامه های سنتی ارائه می دهد.

علاوه بر این، او اضافه کرد که برنامه های کاربردی Web3 اهداف مطلوبی هستند زیرا توکن ها می توانند ارزش مبالغ زیادی را داشته باشند.

باز بودن Web3 که قرار است یکی از مزایای اصلی آن باشد نیز می تواند مضر باشد. مارتا بنت، معاون رئیس و تحلیلگر ارشد Forrester، که همچنین یکی از نویسندگان گزارش است.

کد منبع نیز معمولاً به راحتی در دسترس است، زیرا اجرای “قراردادهای هوشمند” منبع بسته مایه شرمساری است. او به TechNewsWorld گفت که روح Web3 به هر حال «کد باز» است.

پیچیدگی ناخواسته

دیوید ریکارد، مدیر ارشد فناوری آمریکای شمالی در Cipher، بخشی از Prosegur، یک شرکت امنیتی چند ملیتی، توضیح داد که Web3 بر کنترل توزیع شده داده ها و هویت توسط کاربران خود متکی است.

او به TechNewsWorld گفت: «این دامنه حمله را به افرادی گسترش می‌دهد که ممکن است مایل نباشند یا به سادگی قادر به مقابله با مدیریت داده‌ها و هویت خود نباشند، پیچیدگی فنی را به عرصه‌ای می‌آورد که بیش از هر چیز «سهولت استفاده» را می‌طلبد.»

وی افزود: دور زدن افراد از پیام‌های متنی، ایمیل، پیمایش در شبکه‌های اجتماعی و اپلیکیشن‌های خرید یک چالش واقعی برای آنهاست.

او تاکید کرد که ایده Web3 برای شفاف کردن کد و در دسترس عموم بعید است که جذابیت واقعی پیدا کند. او گفت: «در میان VCها و کاربران سیستم‌های مالی بلاک چین و NFTها، پول زیادی در خطر است.

او در ادامه گفت که شفاف سازی و عمومی کردن کد می تواند دامنه حمله را به روش های آشکار گسترش دهد. او توضیح داد: «روش‌های رمزنگاری امن که پیش‌بینی می‌کنند چگونه از یک سیستم برای منافع شوم سوء استفاده می‌شود، غیرمعمول نیستند. پیش‌بینی اینکه چگونه مردم از سیستم‌ها برای مقاصدی غیر از آنچه در نظر گرفته شده استفاده می‌کنند، آسان نیست.

او گفت: «بیشتر ضررهای مالی مربوط به بلاک چین و NFT خود شیء تغییرناپذیر را مورد سوء استفاده قرار نمی‌دهند، بلکه با بهره‌برداری از برنامه‌هایی که می‌توانند بر آن تأثیر بگذارند، آن را دستکاری می‌کنند.

به علاوه، در حالی که سیستم های قدیمی ممکن است قدیمی باشند، می توانند قدرتمند نیز باشند. مت چیودی، مدیر اعتماد در Serpi، سازنده پلتفرم برای مدیریت Shadow IT در سانفرانسیسکو، گفت: «آنچه جدید است ناامن‌تر است.

او به TechNewsWorld گفت: «در حالی که زمان همیشه دوست امنیت نیست، اما اجازه می‌دهد تا یک برنامه آزمایشی نبرد شود. “Web3 هیچ تفاوتی ندارد. جدید است و زیاد آزمایش نشده است. برنامه های قدیمی برای زمان کاربرد دارند، Web3 ندارد.”

NFT به یک هدف محبوب تبدیل شده است

در این گزارش اشاره شده است که صرف نظر از اینکه کد قابل مشاهده و قابل دسترسی باشد، مهاجمان آسیب پذیری هایی را پیدا خواهند کرد. او توضیح داد که اگرچه وسوسه انگیز است که فرض کنیم حملات به قراردادهای هوشمند و کیف پول‌های رمزنگاری محدود به غرب وحشی مالی غیرمتمرکز است، پروژه‌های NFT به یک هدف فزاینده تبدیل می‌شوند.

“چرا اگر راه های آسان تری برای رسیدن به آنچه می خواهید وجود دارد، یک هک دشوارتر را انتخاب کنید؟” بنت پرسید. مانند هر مکان دیگری که ارزش معامله می شود، [NFT] بازارها و ابزارهای ارتباطی، کسانی را که می خواهند دزدی کنند یا قوانین را زیر پا بگذارند، جذب می کند.»

او گفت: “در هر کاری که با Web3 انجام می شود، سرعت بسیار مهم است و بسیاری از شرکت کنندگان تخصص لازم را حتی برای ارزیابی اینکه چه چیزی ممکن است یک مشکل امنیتی بالقوه باشد را ندارند.” حتی گاهی استارت آپ ها تا زمانی که اتفاق بدی رخ نداده، رئیس حراست را اعلام نمی کنند.

یکی از بزرگترین نقض‌های بازار NFT در ماه ژوئن در OpenSea رخ داد که حدود 1.8 میلیون آدرس ایمیل را فاش کرد. ریکارد خاطرنشان کرد که “این مورد خاص شامل یک تهدید داخلی است، اما برنامه هایی که تراکنش ها را مدیریت می کنند می توانند بسیار آسیب پذیر باشند.”

او گفت: “ممکن است صدها هزار راه وجود داشته باشد که برنامه نویسان می توانند از آن برای تفسیر آن سوء استفاده کنند، اما یک هکر فقط باید یک بار یک بار برای رخنه کردن یک بردار کشف کند.”

Hangouts برای کلاهبرداران

فورستر همچنین اشاره کرد که Discord، یک شبکه رسانه اجتماعی، به یک نقطه ضعف بزرگ در NFT و سایر پروژه های بلاک چین عمومی تبدیل شده است. حملات فیشینگ موفق Discord ریشه بسیاری از سرقت‌های NFT، اگر نگوییم بیشتر، هستند.

او توضیح داد که حملات معمولا مدیران و مدیران جامعه را هدف قرار می دهند. هنگامی که یک حساب مدیر با موفقیت تصاحب شد، مهاجمان این فرصت را دارند که در مقیاس بزرگ سرقت کنند، زیرا کاربران تمایل دارند به پیام‌های مدیران انجمن اعتماد کنند.

بنت خاطرنشان کرد که Discord اساساً برای یک انجمن ارتباطی برای بازیکنان طراحی شده است، نه مکانی برای نگهداری و مبادله ارزش، و مکانیسم هایی برای کاهش خطرات وجود دارد. او گفت: «اما این مکانیسم‌ها تنها در صورتی می‌توانند کمک کنند که اجرا شوند، و واضح است که اغلب چنین نیستند.

او افزود: «دیسکورد به‌عنوان مکانیزم ارتباطی ترجیحی برای پروژه‌های توکن، سهم متناسبی از حملات فیشینگ و کلاهبرداری‌ها را به خود جذب می‌کند».

ریکارد تاکید کرد که جوامع Discord منبع غنی اطلاعات برای کلاهبرداران و همچنین سرمایه گذاران است. وی گفت: جمع آوری اطلاعات تماس شرکت کنندگان منجر به فیشینگ می شود. نفوذ به کیف پول های دیجیتال غیرعادی نیست.

او افزود: «ربات‌های دیسکورد هک شده‌اند تا عوامل تهدید بتوانند پیشنهادات جعلی را منتشر کنند که منجر به سرقت ارزهای دیجیتال شود».

امنیت بهتر از وب قدیمی؟

در دنیای پرشتاب Web3، کنار گذاشتن سریع امنیت به نفع نوآوری وسوسه انگیز است، اما مسائل امنیتی عمومی به راحتی می تواند راه اندازی بزرگ را از مسیر خارج کند یا تیم محصول را با وادار کردن آنها به تجزیه و تحلیل و کاهش نقایص امنیتی حیاتی کند کند. گزارش فارستر

او افزود که شرکت‌ها می‌توانند خطرات را شناسایی کرده و از اجزای غیرمتمرکز و متمرکز برنامه Web3 خود با درگیر کردن تیم‌های امنیتی خود – نه فقط در چرخه عمر توسعه نرم‌افزار – بلکه در طول چرخه عمر محصول محافظت کنند.

چیودی خاطرنشان کرد: وب 3 باید تمرکز خود را به سمت چپ تغییر دهد، که به معنای نزدیک شدن امنیت تا حد امکان به توسعه دهندگان و تبدیل پیشگیری به هدف نهایی است. “بدون این تمرکز، Web3 در نهایت متفاوت از Web2 نخواهد بود. با توجه به پتانسیل عظیم آن، به ویژه از نظر هویت غیرمتمرکز، شرم آور خواهد بود.”

مارک بائر، معاون محصول در Anjuna، یک شرکت محاسبات طبقه بندی شده، در پالو آلتو، کالیفرنیا، افزود: “رویکرد توزیع شده Web3 انواع مختلفی از قابلیت های امنیتی را ارائه می دهد، اما مسائل اساسی یکسان باقی می مانند.”

او به TechNewsWorld گفت: «اگر یک مهاجم به اعتبار، امتیاز سطح ریشه یا کلیدها دسترسی پیدا کند – به ویژه کلیدهای خصوصی که در کل اکوسیستم کار می کنند. “