Wann warst du das letzte Mal dabei, wirklich zu prüfen, welchen Code du gerade ausführen lässt, bevor du deine Wallet verbindest? Nie, oder? Macht niemand. Und genau so passieren Frontend-Swaps. Jemand klont eine Seite, ändert ein paar Zeilen und entleert Wallets, während alles noch völlig normal aussieht.
Deshalb habe ich angefangen, mich mit den unsexy Dingen zu beschäftigen. @TermMax setzt bei jeder Frontend-Veröffentlichung eine Build-SHA ein – im Grunde ein Fingerabdruck für genau den Code, der gerade live ist. Sie sitzt direkt in der App. TermMax prüft außerdem automatisch in einer Schleife, ob diese SHA mit einer internen Referenz übereinstimmt – nicht einmal pro Quartal, wenn sich jemand erinnert. Wenn sich die beiden jemals voneinander entfernen, gibt es sofort eine Sicherheitswarnung – nicht erst, nachdem jemand auf Twitter bemerkt hat, dass sich Gelder komisch bewegen.
All das ist nicht besonders aufregend. Es wird nicht angesagt. Aber es ist der Unterschied zwischen einem Team, das auf einen Hack reagiert, und einem, das die Einrichtung erwischt, bevor sie überhaupt passiert. Wenn TermMax jemals nachlässt, will ich, dass die Warnung ausgelöst wird, bevor meine Wallet betroffen ist, und dass ich nicht mehr einer Seite vertraue, nur weil sie richtig aussieht. Frag, ob das Projekt dir überhaupt eine Build-SHA anzeigt. Wenn sie darauf nicht antworten können, ist das deine Antwort.
#termmax
Deshalb habe ich angefangen, mich mit den unsexy Dingen zu beschäftigen. @TermMax setzt bei jeder Frontend-Veröffentlichung eine Build-SHA ein – im Grunde ein Fingerabdruck für genau den Code, der gerade live ist. Sie sitzt direkt in der App. TermMax prüft außerdem automatisch in einer Schleife, ob diese SHA mit einer internen Referenz übereinstimmt – nicht einmal pro Quartal, wenn sich jemand erinnert. Wenn sich die beiden jemals voneinander entfernen, gibt es sofort eine Sicherheitswarnung – nicht erst, nachdem jemand auf Twitter bemerkt hat, dass sich Gelder komisch bewegen.
All das ist nicht besonders aufregend. Es wird nicht angesagt. Aber es ist der Unterschied zwischen einem Team, das auf einen Hack reagiert, und einem, das die Einrichtung erwischt, bevor sie überhaupt passiert. Wenn TermMax jemals nachlässt, will ich, dass die Warnung ausgelöst wird, bevor meine Wallet betroffen ist, und dass ich nicht mehr einer Seite vertraue, nur weil sie richtig aussieht. Frag, ob das Projekt dir überhaupt eine Build-SHA anzeigt. Wenn sie darauf nicht antworten können, ist das deine Antwort.
#termmax