Pokud chcete institucionální kapitál, vaším skutečným rizikem není další reentance. Je to osoba, která se může přihlásit a změnit váš protokol. Cloudové administrátory, CI tokeny, klíče pro nasazení, multisig signery. Pokud útočník dokáže jednou autentizovat, může převzít kontrolu. Podrobnosti níže.

Zero trust IAM: každý požadavek je autentizován + autorizovaný, s nejmenšími oprávněními, časově omezený přístup, předpokládá se kompromitace, vše se zaznamenává. Ve web3 jsou onchain role IAM. SSO pomáhá, ale jen pokud pokrývá cloud, Git, CI a klíčové operace.

Běžné způsoby selhání: dlouhodobé administrátorské údaje, mezery v SSO napříč cloudem/Gitem/CI/KMS, nekonzistentní MFA, osiřelé servisní účty a onchain role, které už neodpovídají tomu, kdo je odpovědný. Jeden zapomenutý klíč je trvalý souhlas pro útočníky.

Navrhněte to: hardwarově podporované MFA pro administrátory a signaty, dedikovaná zařízení pro podepisování, role založené na workflow (nasazení, změna parametrů, upgrade, treasury), samostatné onchain role, automatizace připojování/opouštění, spouštění recertifikací přístupu, udržování registru mapujícího↔adresy lidských administrátorů.

Spearbit audity mapují skutečnou kontrolu. Sledujeme vývoj→deploy, přezkoumáváme cloudové IAM + CI, multisig/MPC, guardiany/recovery a ukazujeme nejkratší cestu od phishingu k převzetí protokolu. Pokud nedokážete dokázat kontrolu, jste odhaleni.

Více se dozvíte zde: