Artikel ini akan membimbing ahli ICO melalui elemen-elemen yang membentuk projek ICO yang selamat. Ini juga bertujuan untuk pelabur sebagai bentuk senarai semak untuk mengesahkan seberapa selamat projek sebenarnya. Sebarang projek sekurang-kurangnya harus mempertimbangkan elemen yang disenaraikan dalam artikel ini.
Prinsip panduan utama
Menurut Liraz Siri, seorang penggodam topi putih profesional yang memperoleh reputasinya di unit siber Israel 8200 yang terkenal, risiko dapat dikurangkan dengan sangat baik dengan menerapkan peraturan 80/20 (manfaat 80 persen dan usaha 20 persen). Inilah empat prinsip utamanya:
- Peraturan asas: mudahkan! Masalah keselamatan muncul ketika sistem yang kompleks dikembangkan. Sistem yang mempunyai tahap kerumitan yang lebih rendah, cenderung untuk menemui kelemahan keselamatan yang kritikal.
- Jangan memandang rendah keselamatan: Sangat mudah untuk berfikir bahawa sistem anda selamat, namun, orang pandai dan cuba mencari celah keselamatan. Jangan lupa bahawa industri ICO penuh dengan penggodam berterusan – lebih daripada 10 peratus hasil ICO hilang dan pertukaran crypto kehilangan rata-rata $ 2 bilion kerana penggodaman yang berjaya.
- Tolerasi kegagalan: Kegagalan boleh berlaku dan akan berlaku. Jangan harap tidak ada yang salah. Pastikan anda mempunyai mekanisme penggantian untuk mengimbangi kegagalan terburuk dan mengurangkan kerosakan.
- Gunakan sistem yang dibenarkan: Penting untuk meletakkan sistem yang dibenarkan dan memberi setiap anggota satu set minimum hak yang dia perlukan untuk melaksanakan tugasnya. Sekiranya salah seorang pekerja anda terganggu, penyerang hanya dapat melakukan beberapa tindakan jahat kerana dia dihalang oleh sistem.
1. Konfigurasikan peranti khusus
Peranti mudah alih yang dibolehkan rangkaian dan komputer riba yang dimiliki oleh ahli pasukan adalah keselamatan bersama tumit Achilles. Anggota pasukan adalah sasaran utama penyerang kerana mereka adalah pautan yang lemah dan terdedah kepada pancingan data atau kejuruteraan sosial. Oleh itu, adalah pilihan yang disarankan untuk menyediakan peranti khusus untuk ahli pasukan anda tetapi juga untuk penjualan token anda untuk meminimumkan risiko penyerang mendapat akses ke peranti ini.
2. Elakkan pengesahan berasaskan telefon
Sangat penting untuk menggunakan pengesahan dua faktor, namun tidak digalakkan menggunakan pengesahan berasaskan telefon seperti SMS atau panggilan telefon. Pakar keselamatan Liraz Siri menjelaskan bahawa panggilan telefon dapat dicegat melalui serangan SS7 – SS7 adalah sekumpulan protokol yang membolehkan rangkaian telefon bertukar maklumat yang diperlukan untuk menyampaikan panggilan dan mesej teks antara satu sama lain..
Walau bagaimanapun, SS7 terkenal mempunyai kerentanan serius dalam protokolnya. Penggodam dapat membaca mesej teks, mendengar panggilan telefon, dan melacak lokasi pengguna telefon bimbit hanya dengan mengetahui nombor telefon mereka menggunakan kerentanan dalam infrastruktur rangkaian telefon bimbit di seluruh dunia. Oleh itu, disarankan untuk mengelakkan SMS dan sebaliknya menggunakan mesej yang disulitkan.
Liraz Siri mengesyorkan menggunakan token perkakasan seperti Gemalto atau YubiKey kerana penyerang perlu mempunyai akses fizikal untuk mendapatkan semula kod ini. Token perkakasan ini harus digunakan bersama dengan Google Authenticator sebagai alternatif kepada pengesahan berasaskan telefon. YubiKey menyediakan aplikasi mudah alih yang menyimpan biji kata laluan sekali pakai (OTP) dan memindahkan OTP ini ke Google Authenticator melalui sensor NFC.
3. Gunakan Perkhidmatan Nama Ethereum (ENS)
Setiap Ethereum ICO harus menubuhkan Ethereum Name Service yang menunjukkan kontrak pintar mereka. Amalan terbaik di sini adalah menggunakan nama yang sama persis dengan nama domain laman web rasmi anda. Pada masa lalu, kebetulan laman web digodam dan alamat Ethereum berubah. Dengan memberikan petunjuk kepada pengguna anda kepada kontrak penjualan anda, anda boleh mencegah peretasan seperti ini. Untuk mengurangkan risiko pancingan data, pastikan untuk mendaftarkan varian pada nama domain anda juga.
4. Pengauditan kontrak pintar
Kontrak pintar ICO menyimpan aset digital bernilai jutaan dolar dan menurut penyelidikan firma audit keselamatan QuillAudits sekitar 3.4% kontrak pintar didapati salah dengan hanya memeriksa melalui algoritma untuk kemungkinan eksploitasi yang paling biasa.
Setelah kontrak pintar diterbitkan di Ethereum, ia tidak berubah dan oleh itu penting kontrak tersebut telah diaudit dengan teliti sebelum benar-benar melepaskannya di rangkaian utama.
QuillAudits, sebuah syarikat yang khusus dalam mengaudit kontrak pintar memberi kami pandangan. Rajat Gahlot, juruaudit di QuillAudits, membincangkan langkah-langkah yang diperlukan untuk memastikan kualiti kontrak pintar yang tertinggi. Pertama sekali, sangat penting untuk mengetahui bahawa kontrak pintar tidak dapat dijamin 100% kerana terdapat kes di mana pepijat dalam bahasa pengaturcaraan atau perkakasan menyebabkan kelemahan keselamatan yang serius. Oleh itu, ingat amalan keselamatan berikut:
1 / Tulis ujian dan kaji semula kod secara manual. Kes ujian diprogramkan untuk mengesahkan kontrak pintar berfungsi ketika menghadapi kes canggih seperti input yang tidak dijangka. Kontrak pintar harus dapat menangani kes-kes kelebihan ini dengan menolak atau membuang kesalahan. Selain menulis ujian ini, kod ini juga dikaji secara manual untuk meningkatkan kecekapan dan struktur kod tersebut.
2 / Pengauditan Automatik. Terdapat banyak alat yang mencari kelemahan tertentu dalam kod Soliditi anda. Namun, mengaudit kontrak dengan hanya alat automatik tidak meliputi audit penuh kerana mereka hanya memeriksa kelemahan tertentu yang diketahui.
3 / Karunia Bug. Pemberian bug membolehkan para pakar berpartisipasi dalam perjanjian undang-undang di mana mereka dapat melakukan penetrasi-menguji kontrak pintar. Sekiranya mereka menemui bug, mereka biasanya akan mendapat ganjaran yang tinggi untuk mencari bug kritikal. Ini adalah kaedah yang cekap untuk mengaudit kontrak pintar anda kerana banyak pengkod yang berpengalaman cuba membatalkan kontrak sebagai ganjaran.
5. Dompet multisignature
Sebagai ICO crypto projek, sangat penting untuk menyimpan dana yang anda kumpulkan dengan selamat. Pertama sekali, gunakan dompet multisignature. Seterusnya, adalah amalan terbaik untuk menyimpan dana di beberapa dompet perkakasan seperti Trezor atau Ledger yang dikendalikan oleh komputer riba khusus. Seperti yang dinyatakan dalam bahagian elemen penting, lebih baik bersiap menghadapi kegagalan: jika salah satu dompet perkakasan rosak atau diretas atas sebab tertentu, anda masih mempunyai sebahagian besar dana yang tersebar di dompet lain.
6. Pengoptimuman enjin carian (SEO)
Mungkin, ICO sudah menghabiskan sebahagian besar belanjawan pemasaran mereka di SEO untuk mendapat peringkat lebih tinggi di Google. Namun, dengan melakukan ini, anda juga dapat mengurangkan risiko pelabur berada di laman web yang salah (laman web pancingan data).
7. Komunikasi selamat
Kini, Telegram dan Slack bukanlah kaedah komunikasi yang paling selamat yang boleh anda gunakan untuk komunikasi dalaman. Keperluan yang paling penting ialah adanya penyulitan mesej peer-to-peer yang selamat. WhatsApp memang menawarkan mesej yang dienkripsi, namun ada projek yang lebih baik yang tersedia dan juga sumber terbuka.
Pilihan pertama adalah Keybase – Keybase memungkinkan untuk mewujudkan pasukan dan sembang kumpulan selamat dengan perkongsian fail yang disulitkan. Keybase bergantung pada prinsip pad kekunci yang digunakan untuk menandatangani dan mengesahkan mesej.
Di laman web Keybase, kami dapat mengetahui ringkasan ringkas bagaimana projek tersebut mewujudkan kepercayaan antara akaun: "Keybase mewujudkan kepercayaan dengan menyambung ke akaun sosial seseorang. Ia memerlukannya untuk menghantar mesej unik di setiap akaunnya untuk menuntut bahawa akaun itu sebenarnya miliknya dan menghubungkannya kembali ke akaun Keybase-nya. Jadi sekarang, orang lain dapat mengesahkan identitinya dan mengetahui dengan pasti bahawa orang yang mengaku dirinya di Twitter sebenarnya adalah orang yang betul (seperti Facebook, Github, dll). Ini menguatkan keyakinan orang terhadap kunci awam orang ini."
Selain itu, Keybase memiliki mekanisme penggantian jika salah satu peranti anda diretas. Oleh kerana Keybase mengaitkan setiap peranti dengan kunci penyulitan yang unik, anda boleh log masuk dengan peranti lain yang dilampirkan ke akaun anda untuk membuang peranti jahat dari senarai peranti anda. Dengan melakukan ini, orang-orang di kalangan kepercayaan anda akan dimaklumkan bahawa salah satu peranti anda telah disusupi oleh penggodam dan mereka tidak dapat menghantar mesej ke peranti itu lagi.
Pilihan lain adalah menggunakan Isyarat projek sumber terbuka yang tertumpu pada kesederhanaan dan penyulitan. Nampaknya seperti aplikasi pesanan biasa dengan ciri penyulitan tambahan untuk menyimpan perbualan anda secara peribadi. Anda juga boleh membuat sembang kumpulan peribadi dengan Signal.
Bonus: perlindungan laman web
Adalah penting bagi ICO untuk terus berada dalam talian semasa proses penjualan. Namun, ini bukan tugas yang mudah apabila internet dilanda serangan penolakan perkhidmatan yang diedarkan setiap hari. Serangan DDoS mampu menjatuhkan laman web, yang pernah terjadi sebelumnya di ruang crypto.
Pada masa penjualan dilancarkan adalah masa yang paling terdedah. Ketika APEX ICO disiarkan secara langsung, pelaku jahat merosakkan laman web mereka, dan sebagai akibatnya, mereka terpaksa mencabut laman web tersebut untuk melindungi calon pelabur. Ketua Pegawai Eksekutif APEX terpaksa menggunakan media sosial mereka untuk menyiarkan selfie dengan alamat penjualan yang betul. Malangnya, laman web ICO adalah salah satu titik utama serangan semasa penjualan orang ramai.
Oleh itu, perkhidmatan seperti Cloudbric atau Cloudflare membantu anda mengurangkan dan menyekat serangan DDoS dan membantu laman web projek anda terus dalam talian. Sebagai contoh, Cloudbric mempunyai ciri teknologi keselamatan aplikasi web yang dapat mengesan potensi ancaman serangan DDoS dan menyekat klien yang meminta halaman penjualan terlalu kerap.
Garisan bawah
Terdapat banyak lagi yang perlu diperhatikan ketika cuba menyusun projek ICO yang selamat dan melindungi ahli pasukan anda daripada serangan pancingan data. Namun, kesalahan dapat dilakukan dengan mudah, pastikan ada mekanisme penggantian kerana kesalahan adalah sebahagian dari perjalanan. Maklumat di atas juga boleh digunakan oleh pelabur untuk mengesahkan keselamatan projek baru. Mana-mana projek baru harus dimulakan terlebih dahulu dengan meletakkan mekanisme keselamatan yang betul sebelum mula menjalankan penjualan token itu sendiri.
