Moonbeam 安全措施、代码审计流程一览,高效安全的开发环境如何建立?
2022-08-03 14:00
OneBlock
2022-08-03 14:00
订阅此专栏
收藏此文章

原文链接:

https://moonbeam.network/blog/security-patch-for-integer-truncation-bug/

翻译校对:OneBlock


2022 年 6 月 27 日星期一,Moonriver 和 Moonbeam 均通过运行时 1606 收到了紧急升级信号,解决当天早些时候由 EDT 负责所披露的安全问题。该项漏洞通过技术修复已得到解决,并且该漏洞将不再被任一网络进行利用。


而近日爆发出的跨链桥被攻击事件,也让我们看到了对于开发者和用户来说,安全的开发环境、高效的漏洞修复非常重要, Moonbeam 团队在这个例子中给我们展示了科学、迅捷的安全措施和应对流程。


下面就让我们来看下,Moonbeam 团队在应对安全问题上展示出的高效流程和安全措施。



现有安全措施

代码审计

Moonbeam 团队与两家执行持续、增量和完整代码审计的审计公司(SR-Labs 和 NCC)保持着服务关系。Moonriver 和 Moonbeam 上的代码库都在审计过程的范围内。此外,该团队正在考虑聘请第三家公司以进一步扩大审计范围。

漏洞赏金计划

去年,Moonbeam 项目建立了一个 Immunefi 漏洞赏金计划,以鼓励对 Moonbeam 代码库进行额外的安全测试。此项漏洞问题来自 Moonbeam 程序用户的第二份重要报告,目前该计划正在为网络和平行链生态系统提供非凡的价值。

内部测试

在每项测试发布之前,Moonbeam 团队都会透彻地测试代码的完整性,使用一套全面的自动化测试和手动测试来识别任何潜在的技术问题。内部测试会耗时超过一周,除了公共测试网 Moonbase Alpha 之外,还会在多个内部测试网络中进行。通常情况下,Moonriver 和 Moonbeam 之间的测试发布时间大约会错开两周或更长时间。由于该问题的紧迫性,我们完成了一个简短的测试过程,并将升级同时部署到两个网络,以限制暴露窗口的数量。

通讯

根据先前披露的漏洞发现,Moonbeam 团队采纳了新的通信工具和最佳实践方案。这使得团队之间的沟通和升级过程更加顺畅。


沟通和响应时间表

收到外联信息并组织相关团队上线参与后,Moonbeam 团队收到了安全报告并开始着手修复。


当漏洞进入公众视野时,Moonbeam 和 Moonriver 技术委员会迅速采取行动,通过启动将网络置于维护模式的行动来防止任何损害。因此,首要任务是尽快解决所有受影响的链上直接安全漏洞。


为了更彻底、详细地说明此次漏洞安全补丁事件,Moonbeam 团队提供了有关此事件所采取的步骤和发送的通信明细。

提供的所有时间均为东部夏令时间 (EDT)。

以 6 月 27 日收到的安全漏洞为例,我们可以看下 Moonbeam 团队的在十几个小时以内的具体处理流程和细节。



2022 年 6 月 27 日

此外,可扩展性。平行链本身属于 Layer1,DApp 团队如果还需要更多的性能和纵向可扩展性,平行链还能扩展出 Layer2,Astar 就验证过平行链可以支持 Layer2 的解决方案。

  • 下午 2:13 – Moonbeam 团队与 Moonwell 团队联系,后者已被 EDT 直接联系。Moonbeam 团队要求立即提供一份 Immunefi 报告,以确定真实性和响应所需信息。

  • 2:25 – PM Moonbeam 技术事件响应团队与 Moonwell 团队代表召开会议,讨论报告。然后将该问题上报给整个业务事件响应团队和 Moonbeam 和 Moonriver 的技术委员会。

  • 下午 2:36 – 白帽要求介绍 Parity 和 Astar 团队。Moonbeam 建立了一个 Telegram 组,用于与白帽团队的内部讨论,并联系被请求团队加入讨论。

  • 3:10 PM – 白帽向 Moonbeam 和 Astar 提交 Immunefi 报告。

  • 3:21 PM – Moonbeam 团队收到报告,重新召开会议并决定进行程序修补,但不将网络置于维护模式。

  • 下午 4:00 – Parity、Moonbeam 和 Astar 确认了问题的严重性。Moonbeam 开发团队设定了更新时间表,并开始着手开发补丁。

  • 下午 5:00 – 通讯发送给生态系统团队。

  • 下午 6:13 – Astar 团队在公共存储库中发布了该问题的修复程序。

  • 下午 6:33 – Moonbeam 团队注意到已发布的代码,并要求技术委员会将网络置于维护模式。开始与重点项目就维护模式进行沟通。

  • 下午 6:46 – 通过 Moonriver 和 Moonbeam 技术委员会制定维护模式,并启动外部通信。

  • 7:46 PM – 更新完成,CI/CD 开始,随后是回归测试和部署多个测试网络。

  • 晚上 8:05 – Moonbeam dApps GUI 离线以防止出现意外行为。

  • 晚上 9:40 – Moonriver 对升级进行投票。由于 EVM 功能在维护模式期间不可用,因此无法使用 Polkassembly。

  • 晚上 10:31 – Moonbeam 升级获得批准,并延迟 60 分钟排队。

  • 晚上 10:58 – 两个网络都成功升级并生产区块。技术委员会对取消维护模式的投票已提交。

  • Moonriver 技术委员会提案 #92

  • Moonbeam 技术委员会提案 #50

  • 晚上 11:05 – 维护模式解除,两个网络恢复全部功能。

  • 晚上 11:49 – Moonwell 确认他们的所有服务都已完全恢复。

  • 晚上 11:50 – 升级确认将发送到 Twitter、Telegram、Discord 和 Reddit。




高光回顾

总的来说,从收到问题到解决和公开已修复的时间是十多个小时。这个时间包括多个阶段的测试和协调。协调工作的开展不仅需要与 PureStake 团队、Moonbeam Foundation 和 Immunefi 上的错误报告者进行沟通,还需要与 Parity 团队和 Astar 进行交流。多方环节涉及的情况下,Moonbeam 团队依旧做出了快速高效的处理,顺利修复了问题,保障了安全。


由于区块链行业中存在的开源开发的特点,一些安全问题的披露需要快速协调才能解决,从而保障全球范围内大量潜在受影响方。在此感谢 Moonbeam 和 Moonriver 生态系统团队的勤奋和高效,始终将尽全力解决问题放在首位。


同时 Moonbeam 和 Moonriver 团队以其快速反应、高效协作的处理流程,科学完整的安全措施,给开发者提供了更多的安全感和信任感,链上突发安全问题出现之时,快速及时的团队协作处理,才能让行业发展行稳致远。




About Us

关于我们

OneBlock+ 是全球最大的 Substrate 技术开发者社区,也是 Parity 在亚洲唯一的运营合作伙伴,波卡生态早期项目的创始人、CTO、核心开发者大部分都来自 OneBlock+ 社区。

Twitter: https://twitter.com/OneBlock_

Medium: https://medium.com/@OneBlockplus

Telegram: https://t.me/oneblock_dev

Discord: https://discord.gg/z2XZZWEcaa

Bilibili: https://space.bilibili.com/1650224419

YouTube: https://www.youtube.com/channel/UCWo2r3wA6brw3ztr-JmzyXA

相关Wiki

【免责声明】市场有风险,投资需谨慎。本文不构成投资建议,用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。据此投资,责任自负。

在 App 打开
特朗普
空投
rwa
稳定币
babylon
以太坊
wayfinder
wct
morph
香港
hyperliquid
wal