OpenSea NFT pazarı, API'sine yönelik üçüncü taraf riskleri konusunda uyarıyor.
Şifre çözme Değiştirilemez tokenlar (NFT'ler) için büyük bir çevrimiçi pazar yeri olan OpenSea'nin, API kullanıcılarını anahtarlarını değiştirmeleri konusunda uyardığını bildirdi . Öyle yapsalar da yapmasalar da, tüm anahtarların süresi 2 Ekim'de dolacak.
Üçüncü taraf riskine maruz kalma.
Bu bir n'inci taraf riski durumudur. Bitcoinist Cuma günü OpenSea'nin tedarikçilerinden biri olan blockchain veri analitiği şirketi Nansen'in kendi üçüncü taraf satıcılarından birinin tehlikeye girdiğini açıkladı . İsimsiz satıcı Nansen'e, yetkisiz bir tarafın "platformumuza müşteri erişimi sağlamak için kullanılan bir hesabın" yönetici haklarını kazandığını bildirmişti. Nansen müşterilerinin yaklaşık %6,8'inin etkilendiği söylendi. Dolayısıyla OpenSea'nin müşterileri için bu, risk içinde risk içinde risk durumudur.
Güvenliği ihlal edilmiş anahtarların önemi.
Şifrelemenin düzgün çalışması için güvenli, ödün verilmeyen anahtarlar şarttır. Cequence Security'de ikamet eden Hacker Jason Kent şöyle yazdı: "Kriptografi çoğu zaman aktarılan verilerin korunmasına yardımcı olsa ve korunan verilerin yetkili kullanıcılar tarafından okunmasına izin verse de, bunun tek bir anlayış etrafında toplandığını hepimiz biliyoruz. Anahtarı korumalıyız." .”
Kent, anahtarların uzun süreli kullanımına izin veren sistemlerin doğası gereği bu tür uzlaşmalara karşı savunmasız olduğunu düşünüyor. "Otomatik olarak kullanılan sistemlerde genellikle uzun vadeli erişim öncelikli olacak şekilde kurulur ancak burada da görüldüğü gibi bu kötü bir tasarımdır. Veri deposu erişilebilirse ve anahtarlar ele geçirilirse, verilerin kötü niyetli bir üçüncü tarafça ele geçirilebileceği mükemmel bir fırtına meydana gelir. Anahtarların döndürülmesi son derece önemli, bunun erkenden ve sık sık gerçekleşmesi gerekiyor, anahtarların uzun süreli saklanması bu tür ihlallerin nasıl meydana gelebileceğini gösteriyor."
Traceable AI Güvenlik Araştırması SR Direktörü Anjum Ahuja, API anahtarlarına özgü diğer sorunlara dikkat çekti. “API anahtarları, iki faktörlü kimlik doğrulama veya CAPTCHA gibi diğer güvenlik kontrollerini atlayarak platforma sınırsız erişim sağlıyor. Üstelik çoğu zaman API anahtarlarının kapsamı yoktur, yani mevcut tüm API'lere tam erişim sağlarlar. Saldırganlar, hedefin farkına varıp önlem almadan önce saldırılarını hızlı bir şekilde otomatikleştirip gerçekleştirebildikleri için API'leri kötüye kullanmayı seviyorlar."
Ahuja şunları ekledi: "İyi tasarlanmış bir API anahtarı, okuma veya yazma, süre sonu ve tercihen IP tabanlı erişim kontrol mekanizması gibi belirli işlevler ve eylemler için açık bir kapsam gerektirmelidir. OAuth genellikle daha iyi bir yetkilendirme mekanizması çünkü bu kontrollerden bazılarını kutudan çıktığı gibi uyguluyor."
