为何波卡在完成安全审计后却拒绝解决风险问题？
我们Web3Foundation的使命是促进下一代互联网的发展：旨在建立一个去中心化的，公平的网络，在该网络上用户可以控制自己的数据，市场可以从网络效率和安全性中受益。这篇文章我们在其中报告了为加强我们的系统而进行的安全审核的相关内容。
该安全审计工作由信息安全公司AtredisPartners进行，该公司在渗透测试，逆向工程，硬件/软件开发以及嵌入式系统设计评估方面拥有丰富的经验。
什么是安全审计
我们邀请Atredis对波卡Runtime的完整性，机密性和可用性以及波卡验证程序的安全性和可靠性进行了安全性评估。
此链接可阅读整个审核员的报告。
https://assets.polkadot.network/security-audits/Atredis_Partners-Web3-Polkadot-PlatformSecurityAssessment.pdf
美SEC专员：不明白为何比特币现货ETF申请决定需要花费这么长时间:1月5日消息，在周二发布的一份通知中，SEC指出，“指定一个较长的期限来发布批准或不批准该ETF的指令是合适的”。消息传出后，比特币的价格并未受到影响，仍在4.7万美元以下的盘整区间内徘徊。
虽然加密货币爱好者已经习惯了比特币现货ETF申请被拒绝和延迟，但SEC专员Hester Peirce也想知道为什么要花这么长时间。在接受行业媒体采访时，Peirce表示：“我不敢相信我们还在谈论这件事，就好像我们在等待一件事发生一样……甚至在最近，我们还否决了一系列的此类ETF申请，而那些声明仍在使用我认为在现下已经过时的论证方法。”（Cointelegraph）
此前消息，美国SEC已将有关NYDIG比特币ETF的决定推迟至3月16日。[2022/1/5 8:27:29]
具体来说，Atredis的审计侧重于：
消息：摩根大通报告解释ETH为何会跑赢大市场:4月28日，加密交易所Gemini商业开发部门亚洲地区主管Eugene Ng在推特上发布消息称，当华尔街的银行开始使用像ETH这样的竞争币时，您就会知道我们很快就会进入竞争币季节。他推文中还包括了一种来自摩根大通的截图。该截图来自摩根大通于4月27日发布的《北美固定收益策略》报告，该部分讲到了ETH为何跑赢大市场。[2021/4/28 21:08:22]
identifyanddefinekeyattackchainsagainstthePolkadotRuntime
识别并定义针可对波卡Runtime的攻击
识别确认任何可能损害Polkadot交易完整性的事件
identifycaseswhereattacker-suppliedcodeexecutioncouldbepossible
法院要求SEC出具有关为何批准BTC和ETH为非证券的文件:数据研究员Leonidas Hadjiloizou 发推文说，法院已同意Ripple的申请，要求SEC出具有关为何批准比特币和以太坊为非证券的文件，另外还包括美国SEC关于XRP地位的内部通信以及有关另外十名托管人的文件。同时，美国地方法院法官Sarah Netburn裁定，Ripple Labs和SEC在4月6日下午2:00通过电话会议讨论相关细节。（U.today）[2021/3/25 19:18:12]
确认是否存在可以执行攻击者提供的代码的可能
确定任何可能会影响Polkadot可信度的情景
确认波卡Runtime架构，开发情况和交易功能，与公认的能够确保最佳加密安全性的做法保持一致
尝试禁用或以其他方式干扰验证人在波卡网络上的正常工作
Facebook Messenger负责人解释为何禁止数字货币广告:Facebook Messenger副总裁David Marcus本周表示，数字货币在他的平台上不会有任何作用。“现在使用加密技术的支付非常昂贵，超级慢，当这一问题解决了，也许我们会做点什么。”本周早些时候，Facebook禁止所有数字货币相关的广告。马库斯解释到：“我们希望保护社区，这最重要，大部分广告都是，我们不能让平台存在。[2018/2/3]
尝试选拔特定的验证人
查看是否有可能强行选拔任免作恶的验证人
报告摘要
评估是由AtredisPartners在2020年1月20日至2月11日进行的。其中包括对通信堆栈的自下而上的分析，针对波卡Runtime源代码以及Kusama网络的动态测试。在测试过程中特别测试了拒绝服务方案和欺诈活动。评估得出了一项严重，一项高，一项中等风险和三项信息方面的发现。
关键的发现是Substrate中的逻辑问题，该逻辑问题允许生成零成本交易。由于平台依赖于各种具有成本因素的交易，因此该问题可能允许作恶方通过向网络发送可能消耗存储空间的潜在免费交易来向网络发送时间延迟的操作，例如投票等，以致造成损失。
该问题可通过更新有关计算权重和费用的逻辑来修正，以便使得指令通行时始终支付费用，同时也可以通过标准化计算自定义权重信息的方式来进行辅助修正。
同时要保证识别出的其他问题不能被用来扰乱或颠覆整个网络秩序。据观察，Rust编程语言的使用大大降低了许多攻击类别的可能性，并且WASMRuntime的使用在沙盒实验的动态代码中非常有效。
对调查结果的回应
问题：通过Utility.batch进行免费交易滥用
性质：严重风险
状态：已解决。并由Atredis通过代码审查进行了验证
https://github.com/paritytech/substrate/pull/4953
问题：通过无效交易对Polkadot节点进行CPU消耗
性质：高风险
状态：已解决。并由Atredis通过代码审查进行了验证
https://github.com/paritytech/substrate/pull/5939
问题：解决P2P身份响应的端点流量反应
Medium性质：中等风险
Won’tFix.回应：不会修复该问题
原因：在公共开放网络中基于Gossip-based的安全广播是一个没有正确答案的问题，不同的机构、学者、工程师提出了各种建议以及半解决方案，但都具有出于自身立场的不同权衡考虑。比特币通过给节点运营商增加执行网络级监控的负担，从而防止了不安全的Gossip，就现有经验来看这在提升性能方面是相当有效的。Polkadot提出并正在执行质押的概念，同时允许执行更多检查。另外，当前正在研究基于由节点自身完成的内置网络监视的解决方案。最后，节点运营商可以对大型比特币节点运营商进行连接和带宽使用方面的经典检查。
问题：解决P2P身份响应的可观测的地址DNS泄漏
性质：仅通知
回应：不会修复该问题
https://github.com/paritytech/substrate/pull/6582
问题：Substratesr25519Pair::Verify调用不推荐使用的函数
性质：仅通知
回应：不会修复该问题
https://github.com/paritytech/substrate/pull/5138
问题：Substrate在from_seed_slice不一致的接口警告
性质：仅通知
回应：不会修复该问题
保持高透明度是我们Web3Foundation最引以为豪的宗旨。因此我们将持续更新这个正在进行当中的系列内容，同时会刊登出我们发现并确定的问题和纠正的步骤。
编译/潜行之尧
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。