为何波卡在完成安全审计后却拒绝解决风险问题？
我们Web3Foundation的使命是促进下一代互联网的发展：旨在建立一个去中心化的，公平的网络，在该网络上用户可以控制自己的数据，市场可以从网络效率和安全性中受益。这篇文章我们在其中报告了为加强我们的系统而进行的安全审核的相关内容。
该安全审计工作由信息安全公司AtredisPartners进行，该公司在渗透测试，逆向工程，硬件/软件开发以及嵌入式系统设计评估方面拥有丰富的经验。
什么是安全审计
我们邀请Atredis对波卡Runtime的完整性，机密性和可用性以及波卡验证程序的安全性和可靠性进行了安全性评估。
此链接可阅读整个审核员的报告。
https://assets.polkadot.network/security-audits/Atredis_Partners-Web3-Polkadot-PlatformSecurityAssessment.pdf
律师Jeremy Hogan：SEC过去曾称XRP为数字货币，必须在法庭上解释为何现在不予支持:4月6日消息，霍根律师事务所的合伙人杰里米·霍根（Jeremy Hogan）曾在Twitter上表示，2016年美国证券交易委员会（SEC）提到了Ripple以“数字货币公司”的身份进行文件研究。
现在，SEC将不得不向法官澄清其如何转变为“数字安全”公司。（U.today）[2021/4/6 19:51:39]
具体来说，Atredis的审计侧重于：
identifyanddefinekeyattackchainsagainstthePolkadotRuntime
识别并定义针可对波卡Runtime的攻击
识别确认任何可能损害Polkadot交易完整性的事件
动态 | 马绍尔官员David?Paul发解释为何马绍尔群岛计划发布自己的加密货币:马绍尔群岛总统助理兼环境部长David?Paul发文解释为什么马绍尔群岛要发布自己的加密货币。 马绍尔群岛共和国自1979年成为独立民主国家以来，一直使用美元作为货币。今天，马绍尔正在推进使用区块链技术以数字形式发行主权货币的计划。马绍尔去年通过了《主权货币法案》，宣布打算发行一种新货币Sovereign （SOV），将与美元一起使用。发行货币当然是任何主权国家的特权，但史无前例的是，马绍尔选择使用区块链技术发行主权货币。 当马绍尔选择发行货币时，做了三个关键的决定。首先，货币将基于区块链技术，这对于马绍尔群岛至关重要。第二，货币供应量的增长将是预先确定的和防篡改的。最后但同样重要的是，这种合规性将被纳入货币协议本身，同时保持个人隐私。 他表示，区块链技术的出现为马绍尔这样的小国打开了一个充满机遇的世界。借助基于区块链的数字货币，马绍尔可以自动化大部分合规负担，并在国际舞台上发挥积极作用。区块链让马绍尔有机会以反映马绍尔价值观的方式最终获得货币独立。马绍尔打算以创新和负责任的方式抓住这个机会。[2019/9/4]
identifycaseswhereattacker-suppliedcodeexecutioncouldbepossible
动态 | 李启威连发数十条推文释疑：为何看起来Litecoin Core在GitHub没有更新:刚刚莱特币创始李启威连发数十条推文，介绍了莱特币的代码更新情况和开发进展。他表示在8年来，只有少于开发人员致力于Litecoin Core。Adrian Gallagher目前正在领导Litecoin Core的开发，并且已经进行了几年，大家可能不太了解Adrian，因为他不在推特上，但他很棒，他正在悄悄地做Litecoin Core开发的幕后工作。
最近有很多人质疑莱特币在2019年没有更新任何代码，从GitHub上看似乎这样，但这里有两个原因：第一个是莱特币的更新要比比特币滞后几个月，我们发布了几个月前在比特币中发布的代码，这些代码是在2018年编写的。GitHub的有趣之处在于，它使提交的时间保持不变，不管是谁写的，还是什么时候提交到代码库的。因此，比特币开发者因在莱特币代码库中的工作而受到好评。这就会让人看起来，尽管在2019年5月开发并发布了最新的Litecoin Core，但在GitHub你会发现大多数提交都是在2018年完成的。第二个原因是我们没有在主要项目的主分支上工作，将非发布代码签入主分支通常不是好的开发实践。事实上，Adrian一直在他的个人分支上积极地开发Litecoin核心版本0.18.1。
以上是Litecoin Core开发多年来的运作方式，我们去年甚至遇到了用户相同的担忧，有人去年看了我们的主分支工作并声称Litecoin在2018年停止了开发。我打即使在这个解释之后，我们也会在2020年让人感到困惑。
另外，李启威还表示Litecoin Foundation的目的有两个方面：致力于LTC的推广和开发。“在过去的几个月里，我认为一直认为推广比开发更重要，但从长远来看，这两者同样重要。我会努力与社区进行更好的沟通，并提供更频繁的消息同步。”[2019/8/11]
确认是否存在可以执行攻击者提供的代码的可能
调查显示 超半数俄罗斯人知道比特币为何物:最近由全俄公众舆论研究中心（VCIOM）进行的一项调查结果显示，超过56％的俄罗斯人表示他们知道比特币，活跃网民中这一数字已经涨至66％。年轻的俄罗斯人（18-24岁）中知道比特币的比率已经达到75％。而首都莫斯科和第二大城市圣彼得堡有74％的居民已经了解到了去中心化的虚拟货币。然而只有三分之一的人知道，任何人都可以购买比特币，16％认为比特币在俄罗斯实际上是被禁止的。不过，有四分之一以上的人知道虚拟货币不仅可以购买，还可以被开采。另有44％的人意识到，将虚拟货币兑现，目前在俄罗斯还没有合法化。[2018/1/23]
确定任何可能会影响Polkadot可信度的情景
确认波卡Runtime架构，开发情况和交易功能，与公认的能够确保最佳加密安全性的做法保持一致
尝试禁用或以其他方式干扰验证人在波卡网络上的正常工作
尝试选拔特定的验证人
查看是否有可能强行选拔任免作恶的验证人
报告摘要
评估是由AtredisPartners在2020年1月20日至2月11日进行的。其中包括对通信堆栈的自下而上的分析，针对波卡Runtime源代码以及Kusama网络的动态测试。在测试过程中特别测试了拒绝服务方案和欺诈活动。评估得出了一项严重，一项高，一项中等风险和三项信息方面的发现。
关键的发现是Substrate中的逻辑问题，该逻辑问题允许生成零成本交易。由于平台依赖于各种具有成本因素的交易，因此该问题可能允许作恶方通过向网络发送可能消耗存储空间的潜在免费交易来向网络发送时间延迟的操作，例如投票等，以致造成损失。
该问题可通过更新有关计算权重和费用的逻辑来修正，以便使得指令通行时始终支付费用，同时也可以通过标准化计算自定义权重信息的方式来进行辅助修正。
同时要保证识别出的其他问题不能被用来扰乱或颠覆整个网络秩序。据观察，Rust编程语言的使用大大降低了许多攻击类别的可能性，并且WASMRuntime的使用在沙盒实验的动态代码中非常有效。
对调查结果的回应
问题：通过Utility.batch进行免费交易滥用
性质：严重风险
状态：已解决。并由Atredis通过代码审查进行了验证
https://github.com/paritytech/substrate/pull/4953
问题：通过无效交易对Polkadot节点进行CPU消耗
性质：高风险
状态：已解决。并由Atredis通过代码审查进行了验证
https://github.com/paritytech/substrate/pull/5939
问题：解决P2P身份响应的端点流量反应
Medium性质：中等风险
Won’tFix.回应：不会修复该问题
原因：在公共开放网络中基于Gossip-based的安全广播是一个没有正确答案的问题，不同的机构、学者、工程师提出了各种建议以及半解决方案，但都具有出于自身立场的不同权衡考虑。比特币通过给节点运营商增加执行网络级监控的负担，从而防止了不安全的Gossip，就现有经验来看这在提升性能方面是相当有效的。Polkadot提出并正在执行质押的概念，同时允许执行更多检查。另外，当前正在研究基于由节点自身完成的内置网络监视的解决方案。最后，节点运营商可以对大型比特币节点运营商进行连接和带宽使用方面的经典检查。
问题：解决P2P身份响应的可观测的地址DNS泄漏
性质：仅通知
回应：不会修复该问题
https://github.com/paritytech/substrate/pull/6582
问题：Substratesr25519Pair::Verify调用不推荐使用的函数
性质：仅通知
回应：不会修复该问题
https://github.com/paritytech/substrate/pull/5138
问题：Substrate在from_seed_slice不一致的接口警告
性质：仅通知
回应：不会修复该问题
保持高透明度是我们Web3Foundation最引以为豪的宗旨。因此我们将持续更新这个正在进行当中的系列内容，同时会刊登出我们发现并确定的问题和纠正的步骤。
编译/潜行之尧
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。