Partnered With:

Üç cümle bana Shenzhen'de nasıl güvenlik görevlisi olunacağını öğretti

Bu makaleyi okumak için 17 Dakika

GoPlus güvenli ağ korumasına odaklanır ve açık, izinsiz, kullanıcı odaklı bir Web3 modüler kullanıcı güvenlik katmanı sağlar

Orijinal kaynak: GoPlus
Orijinal yazar: anymose

Fu Hang, bir Fortune 500 şirketinde BA olarak çalıştığını söyledi, yani bir güvenlik görevlisi. Seyirciler kahkahalara boğuldu, ama ben hiç gülemedim, hatta ağlamak istedim.

Çünkü ben de BA olarak çalıştım.

İkisi de BA olarak çalıştı, ama o bir Fortune 500 şirketinde çalışırken ben sadece Shenzhen Nanshan Bölgesi Xili Kasabası Tanglang Köyü Metal El Sanatları Ürünleri Şirketi'nde güvenlik görevlisiydim.

Hadi gizlice girelim!

Güvenlik görevlisi olmak çok fazla şey gerektirmez. Fu Hang, Fortune 500 şirketlerinden birinde çalışıyordu, bu yüzden sadece iki cümle öğrenmesi gerekiyordu: "Evet efendim!" ve "Hoş geldiniz, sahibi!" Bunu yapamam. Fabrikamızın birçok kuralı var ve üç cümle öğrenmem gerekiyor:

· Ne yapıyorsunuz?

· Buraya girmenize izin verilmiyor!

· Buradan kayıt olun!

Bu üç cümleyi öğrenmek için bir hafta harcadım ve hatta kısaltmalar bile yaptım. Örneğin, ilk cümleyi gizlice "GSM" olarak yazdım. Daha sonra, Web3'e girdiğimde, büyük bir sorunu keskin bir şekilde keşfettim: bu sektör gerçekten çıplak, güvenliği korumak için neden bir "güvenlik odası" yok?

Ne?

Blockchain, anahtarlarınızı veya paralarınızı değil, güvenlik egemenliğini sıradan kullanıcılara verir. Tüm güvenlik sorumlulukları, kullanıcılar tarafından öğrenilmeli ve üstlenilmelidir. Bu, bir topluluk kurmuşsunuz ve sahiplerinin güvenlik görevlileri olmadan kendi mülklerini koruması gerektiği gibidir.

Bu makul mü?

Hırsızlık süreci şu şekilde basitleştirilebilir: pasif/aktif kötü amaçlı yetkilendirme, transfer veya sözleşme etkileşimi işlem - cüzdan/RPC düğümü aracılığıyla mempool/doğrulama ağına gönderilir - düğüm onayladıktan sonra defter yürürlüğe girer ve bu üç adım varlıklarınızı çalar. Güvenlik odası örneğini uygulayarak anlaşılması daha kolaydır, yani önce topluluğa/fabrikaya girmenin bir yolunu bulun, korumayı atlatın ve kaçın.

Varlık hırsızlığını önlemek için en etkili ve temel çözüm, onu blok zincirinin kendisinde durdurmak olmalıdır. Neden mi? Çünkü işlem yöntemi çok karmaşıktır. Farklı cüzdanlar, uygulamalar, RPC düğümleri, işlem türleri vb. işleri karmaşık hale getirecektir, ancak tüm işlemler ikinci adıma girer, yani doğrulama düğümü veya bellek havuzu işlendiğinde süreç aynıdır. Bunu engellemek için burada müdahale etmeli ve müdahale etmeliyiz.

Bunu kim yapıyor? @GoPlusSecurity—Güvenli ağ korumasına odaklanan, açık, izinsiz, kullanıcı odaklı bir Web3 modüler kullanıcı güvenlik katmanı sağlayan bir blok zinciri projesi. Çözüm nedir? Bunlar bir güvenlik görevlisi olarak söylediğim üç cümle, hatırladınız mı?

GoPlus Güvenlik Modülü, GSM olarak kısaltılır. Hatırlayamıyorsanız, güvenlik görevlileri tarafından en sık kullanılan ifade olan "ne yapmalı"yı hatırlayabilirsiniz. Bu, GoPlus tarafından piyasaya sürülen en son yerel güvenlik modülüdür ve varlık güvenliğini korumak için gerçek zamanlı olarak yüksek riskli işlemleri tespit etmek ve engellemek üzere düğüm istemcisine sorunsuz bir şekilde entegre edilebilir.

Anahtar kelimeler: gerçek zamanlı, yerel, polimorfik, ayrıntılı olarak anlatayım.

Yerel entegrasyon

Bu bir API veya eklenti değildir. GSM, düğüm istemcisine dağıtılabilen ve yerleştirilebilen yerel bir modüldür. Düğüm katmanında çalışır ve çeşitli blok zinciri protokolleriyle derinlemesine entegre edilebilir. GoPlus, az önce bir işlem tekrarı raporu yayınladı. BNB Zincir düğümü GSM ile gömülü olduğunda, geçen yılki 100 saldırıdan 97'si %97'ye varan bir başarı oranıyla engellenebilir! Bu gerçek bir ortamda dağıtılırsa, 22 milyon ABD dolarına mal olacak!

Düğüm istemcisindeki bu yerel entegrasyonun faydaları çok açıktır. Bir hırsız bir şeyler çalmak için sahibinin evine girmek isterse, önce güvenlik odasından veya koruma ağından geçmelidir. GSM'den önce herkes çıplak koşuyordu. Temel olarak, kapınızı açtığınız sürece varlıklarınız kesinlikle çalınacaktır. GSM, varlıkları bellek havuzuna girmeden önce önceden belirleyebilir ve engelleyebilir; bu, saldırganların geleneksel cüzdanlara veya API çözümlerine göre aşması daha zordur.

Gerçek zamanlı koruma

Pasif değil, aktiftir. GSM, kara adres etkileşimi, kimlik avı saldırıları, MEV saldırıları, Gaz kötüye kullanımı, risk yetkilendirmesi, Pixiu işlemleri vb. gibi çeşitli saldırı yöntemleri üzerinde gerçek zamanlı analiz gerçekleştirebilir ve bu da temel olarak Web3'ün tehdit senaryolarının çoğunu kapsayabilir.

Bu nasıl başarılıyor? GoPlus'a aşina olan eski dostlar, uzun süredir Güvenlik Veri Katmanı ve Güvenlik Hesaplama Katmanı ile uğraştıklarını ve tehditleri birden fazla boyutta analiz edip tespit edebildiğini bilirler. GSM, GoPlus'ın kendi kendini doğrulama hizmetine güvenir ve SecWare AVS düğümü, verimli ve doğru risk değerlendirmesini sağlamak için işlem simülasyonu, kötü amaçlı adres tespiti ve diğer görevleri çalıştırır.

Çok biçimli destek

GSM artık resmi olarak yayınlandığına göre, teoride çoğu EVM zinciri sorunsuz bir şekilde entegre edilebilir. Daha sonra, Solana, Move genel zincirlerinin vb. entegre edileceği tahmin ediliyor. Polimorfizmin bir diğer anlamı ise kullanıcıların farklı zincirler, farklı kullanım senaryoları ve farklı cüzdanlara göre farklı güvenlik politikaları belirleyebilmesi yani özelleştirmedir.

Gerçek etkisi nedir? Yukarıda ifşa ettikleri tekrar verilerine göre, tespit oranı %97'ye ulaştı. Geçtiğimiz yıl BNBChain'de sadece 100 güvenlik olayı 22 milyon ABD doları kaybı önleyebilir. Ayrıca, modül düğüme gizlice girer ve verimli bir şekilde çalışır. Her işlemin gecikmesi 40 ms'den azdır ve 1000 TPS baskısı altında stabil bir şekilde çalışabilir.

GSM'den önce güvenlik koruması nasıl yapılıyordu? Başka bir deyişle, GSM ile geleneksel koruma arasındaki fark nedir? Cüzdanlar ve kullanıcı arayüzü iki yaygın güvenlik koruma senaryosudur. Bunları sırasıyla açıklamak için örnekler vereceğim.

Cüzdan

Örnek olarak OKX cüzdanı @wallet'ı ele alalım, güvenlik açısından çok fazla çaba sarf edildi. Gözetimsiz bir cüzdan olarak, kullanıcılar kendi özel anahtarlarını yerel olarak yönetir, bu nedenle cüzdan yalnızca imzalamadan önce işlem analizi yapabilir ve ardından kullanıcılara arayüzü kontrol etmelerini hatırlatabilir. OKX cüzdanı ayrıca hedef adresin veya sözleşmenin kara listede olup olmadığını tespit edebilen ve ardından uyarı verebilen bazı güvenlik API'lerini entegre eder.

Kullanıcılar ayrıca bazı risk kontrolleri ve sürümleri yapmak için inisiyatif alabilir, örneğin artık yüksek riskli yetkilendirmeyi iptal etme gibi işlevler sağlayabilir.

Hepsi iyi, ancak asıl kusur, hala kullanıcının temel işletim becerilerine ve bilgi rezervlerine güvenmesi gerektiğidir. Sahibine olası riskler hakkında bilgi vermeye aittir ve sahibinin güvenlik kontrollerini ve korumayı kendisi yapması gerekir. Ayrıca, teknik olarak konuşursak, kullanıcı anti-MEV'yi anlamıyorsa ve bu işlevi açmazsa, birçok yüksek riskli işlem bu kontrolle doğrudan atlatılabilir ve bunun bir yolu yoktur.

Elbette, özel anahtarınız kaybolursa veya sızdırılırsa, cennetin kralı gelse bile yapabileceğiniz hiçbir şey yoktur.

UI

UI, yalnızca yardımcı bir araç olarak kullanılabilen, toplulukta yayınlanan güvenlik posterlerine eşdeğer bir arayüzdür. Her bir işlemi imzaladığınızda, yetkilendirdiğinizde ve onayladığınızda, ayrıntılı bir açıklama almanız ve bir risk varsa bir uyarının açılması daha yaygındır.

Bu çok zorlayıcıdır. Sıradan kullanıcıların kısa sürede güvenlik uzmanı olmalarına izin vermek gerçekçi değildir. UI hatırlatıcısı yalnızca kullanıcıların anlamasını gerektiren en basit istemleri görüntüleyebilir ve bu kendi başına saçmadır.

Genel olarak, GSM, kullanıcı anlayışı ve müdahalesine ihtiyaç duymadan, bellek havuzuna girmeden önce işlemleri aktif olarak kesebilir; bu, yetersiz öznel yetenek eksikliklerini telafi edebilir; düğüm katmanında çalıştığı için, saldırıların arayüzleri taklit ederek veya API'leri atlayarak sisteme müdahale etmesi zordur; bu da güvenliği büyük ölçüde artırır; API gecikmesiyle karşılaştırıldığında, çalışma hızı 40 milisaniyeden azdır ve hırsız kapıya ulaşmadan önce yere serilmiştir.

Bunu okuyabiliyorsanız, benimle aynı şüpheye sahip olduğunuza inanıyorum, yani, güvenlik görevlisi zimmete para geçirmekten nasıl kaçınır? Yani, GSM'niz ne kadar güçlü olursa olsun, kötülük yaparsanız, daha yıkıcı olmaz mı? Ya güvenlik görevlisinin kendisi hırsız olursa? GSM'nin bu sorunu nasıl ele aldığını derinlemesine incelediğimde, yüksek sesle güldüm.

Görünüşe göre yüksek teknoloji ürünü, bizim güvenlik şirketimizden pek de farklı değil.

Bana GoPlus'ın eski bir güvenlik markası olduğunu ve güvenilir olduğunu söylemeyin. 20 milyon kullanıcıya ve 1.500'den fazla ekolojik uygulamaya hizmet verdiğinizi biliyorum. Ayrıca çeşitli güvenlik denetimlerinden ve üçüncü taraf doğrulamalarından geçtiğinizi de biliyorum. Yeni, gerçekten merkezi olmayan ve güvenilmez bir şey duymak istiyorum.

Gerçekten var.

Her şeyden önce, bu teknik bir denetimdir. Bu denetim, güvenlik denetimi değil, GoPlus'ın merkezi olmayan otonom doğrulama sistemi SecWare AVS'dir. Bu dağıtılmış bir düğümdür ve güvenlik denetimi tek bir düğüm tarafından kontrol edilmez. Bu, güvenlik şirketimizin rotasyonuyla aynıdır: birden fazla güvenlik görevlisinin geçmesine ve görev ve denetimi sırayla yapmasına izin verin, hehe.

Dahili teknik denetime ek olarak, topluluk da GoPlus'ın önemli bir parçasıdır. $GPS tarafından yönlendirilen ekonomik modele dayanarak, geliştiriciler, düğüm operatörleri ve ekosistemin kullanıcıları, GSM'nin bakımına ve optimizasyonuna katılabilir, şeffaflık ve adaleti sağlamak için SecWare Protokolü aracılığıyla tehdit veritabanlarını ve AI modellerini doğrulayabilir ve değerlendirebilir.

Son olarak, her şey sahibine geri döner. GoPlus ayrıca kullanıcı tanımlı güvenlik politikalarını da destekler, bu da güvenlik bileşenlerinin sahibi tarafından seçilebileceği anlamına gelir, örneğin evde güvenli, kurt önleyici bir sprey ve tek tuşla BB CALL hazırlanıp hazırlanmayacağı gibi.

Neden güvenlik görevlisi olmak istiyorum? Aslında, ilk üniversite giriş sınavımda ilk 2'ye giremedim. Kendimden vazgeçtim ve artık okumak istemedim. Annem acı çekmeme izin vermek için beni amcamın fabrikasına gönderdi. Amcam gerçekten ciddiydi. Bana acı çektirdi. Klimalı bir ofiste çalışmama izin vermedi, bunun yerine beni güvenlik görevlisi olarak kapıda bekletti...

İnancımdan bir aydan fazla çalıştım ve sonra vazgeçtim... Çalışmalarımı tekrarlamak için geri döndüm. Yıllar sonra, güvenlik şefinin bana öğrettiği üç kuralı hala hatırlıyorum:

· Ne yapıyorsun? - Yapay zeka destekli tehdit tespiti

· Buraya girmene izin verilmiyor! - İşlemler bellek havuzuna girmeden önce engelleniyor

· Buradan kayıt ol! - Şeffaf topluluk denetimi

Bu, yumuşak çekirdekli popüler bilim makalesidir. Bu makale aracılığıyla, aşağıdaki bilgiler hakkında temel bir anlayışa sahip olabilirsiniz:

· Yetersiz blockchain güvenlik mimarisi

· GSM yenilikçi sonlandırma çözümü

· Güvenlik görevlisi olmayı nasıl hızlı bir şekilde öğrenebilirsiniz (değil