Saya menganggap audit smart-contract sebagai garis finis untuk keamanan TermMax. Itu terlalu rapi.
Kontrak yang bersih tidak membantu jika halaman di depannya mengganti alamat kontrak atau mengubah parameter transaksi sebelum saya menandatangani. Meter terakhir antara aplikasi dan dompet saya juga bagian dari protokol.
Dokumentasi keamanan TermMax menyatakan setiap rilis frontend mendapat build SHA yang unik; SHA saat ini ditampilkan di aplikasi, dan pemeriksaan otomatis membandingkan build yang dideploy dengan yang diharapkan. Setiap penyimpangan seharusnya memicu peringatan. Mereka juga membahas pemindaian image container serta Content Security Policy yang ketat.
Yang membuat ini terasa kurang seperti daftar periksa adalah timing-nya. TermMax App V2 ditambahkan ke cakupan Immunefi pada 17 Agustus. Cakupan itu secara tegas menganggap perubahan berbahaya pada parameter transaksi dompet yang terhubung, substitusi kontrak, atau pengiriman transaksi berbahaya sebagai dampak kritis.
Saya suka karena ini menguji hal yang benar-benar disentuh pengguna, bukan hanya kontrak yang berada di baliknya.
Namun masih ada satu pertanyaan yang ingin saya ajukan. Dokumen menyebut referensi SHA yang otoritatif dipelihara secara internal. Hash yang ditampilkan di dalam aplikasi jadi jauh lebih berguna jika pengguna bisa membandingkannya dengan referensi yang diterbitkan secara independen.
Jadi pemeriksaan keamanan saya sekarang ada dua baris: apakah kontraknya tepercaya, dan apakah antarmuka menyajikan build yang saya kira?
@TermMax #TermMax
Kontrak yang bersih tidak membantu jika halaman di depannya mengganti alamat kontrak atau mengubah parameter transaksi sebelum saya menandatangani. Meter terakhir antara aplikasi dan dompet saya juga bagian dari protokol.
Dokumentasi keamanan TermMax menyatakan setiap rilis frontend mendapat build SHA yang unik; SHA saat ini ditampilkan di aplikasi, dan pemeriksaan otomatis membandingkan build yang dideploy dengan yang diharapkan. Setiap penyimpangan seharusnya memicu peringatan. Mereka juga membahas pemindaian image container serta Content Security Policy yang ketat.
Yang membuat ini terasa kurang seperti daftar periksa adalah timing-nya. TermMax App V2 ditambahkan ke cakupan Immunefi pada 17 Agustus. Cakupan itu secara tegas menganggap perubahan berbahaya pada parameter transaksi dompet yang terhubung, substitusi kontrak, atau pengiriman transaksi berbahaya sebagai dampak kritis.
Saya suka karena ini menguji hal yang benar-benar disentuh pengguna, bukan hanya kontrak yang berada di baliknya.
Namun masih ada satu pertanyaan yang ingin saya ajukan. Dokumen menyebut referensi SHA yang otoritatif dipelihara secara internal. Hash yang ditampilkan di dalam aplikasi jadi jauh lebih berguna jika pengguna bisa membandingkannya dengan referensi yang diterbitkan secara independen.
Jadi pemeriksaan keamanan saya sekarang ada dua baris: apakah kontraknya tepercaya, dan apakah antarmuka menyajikan build yang saya kira?
@TermMax #TermMax
