منحت برنامج دعم النظم البيئية التابع لمؤسسة إيثريوم منحةً لمؤسسة حرية الصحافة لبناء WEBCAT، وهو مشروع يركز على جعل واجهات تطبيقات الويب قابلة للتحقق وخالية من الرقابة. تم تصميم الأداة لتمكين المستخدمين من التأكد من أن الكود الذي يعمل في متصفحهم هو بالفعل الكود الذي قصد المطورون نشره.
ما الذي يفعله WEBCAT فعليًا
يركز المشروع على التحقق من الكود داخل المتصفح. باللغة الإنجليزية: فهو يمنح متصفحك وسيلة للتحقق من أن JavaScript وHTML والكود الآخر المُقدَّم لك يطابق ما نشره المطورون. إذا قام أي شخص، سواء كان فاعلًا خبيثًا أو خادمًا مخترقًا أو حتى مزود استضافة مُكره، باستبدال الواجهة الأمامية الحقيقية بإصدار مُسمَّم، فسيُشير WEBCAT إلى ذلك.
هذا مهم جدًا لمحفظات إيثريوم وتطبيقاتها اللامركزية، حيث يمكن لواجهة أمامية مخترقة أن تفرغ الأموال دون لمس طبقة العقد الذكي على الإطلاق. لم تكن بعض أكثر الهجمات تدميرًا في عالم التشفير في السنوات الأخيرة هجمات على العقود الذكية على الإطلاق. بل كانت هجمات على الواجهة الأمامية، وسرقة DNS، وخرق سلسلة التوريد، حيث تم تزويد المستخدمين بواجهات ضارة بينما ظلت البروتوكولات الأساسية سليمة تمامًا.
يحافظ المشروع على وثائق عامة على docs.webcat.tech ومستودعات مفتوحة المصدر تحت منظمة freedomofpress على GitHub.
لماذا مؤسسة حرية الصحافة
مؤسسة حرية الصحافة هي منظمة غير ربحية تُعرف بشكل أساسي بـ SecureDrop، وهو نظام مفتوح المصدر لتقديم إفادات المبلغين عن المخالفات يستخدمه مكاتب الأخبار حول العالم. قضت FFP سنوات في حل مشكلة مرتبطة ارتباطًا وثيقًا: كيف تضمن أن البرنامج الذي يستخدمه المصدر لتقديم الوثائق الحساسة لم يُعدل؟ يمتد WEBCAT نفس الفلسفة إلى التطبيقات القائمة على المتصفح.
يواجه كل من SecureDrop وتطبيقات Ethereum الموزعة خصومًا يستفيدون من تعديل كود المستخدمين بصمت. بالنسبة لـ SecureDrop، قد يكون هذا الخصم طرفًا حكوميًا يستهدف الصحفيين. أما بالنسبة للمحافظ الخاصة بـ Ethereum، فهو أي شخص يرغب في إعادة توجيه المعاملات أو سرقة المفاتيح الخاصة. التحدي التقني، وهو التحقق من عدم تعديل الكود من جانب العميل، هو نفسه جوهريًا.
الصورة الأمنية الأكبر لإيثريوم
لم يتم الكشف عن مبلغ المنحة المحدد. هذا أمر شائع إلى حد كبير لتخصيصات ESP، والتي تميل إلى الحفاظ على السرية بشأن التفاصيل المالية مع جعل العمل نفسه عامًا من خلال مستودعات مفتوحة المصدر والوثائق.
سطح الهجوم على التطبيقات اللامركزية لا يقتصر على الكود على السلسلة. بل يمتد عبر الوكلاء، والجسور، ومزودي RPC، ومسجلي DNS، وخدمات CDN، نعم، حزم JavaScript التي تُقدَّم لمتصفحات المستخدمين. لا يمتلك معظم المستخدمين وسيلة للتحقق من أن الواجهة التي يرونها شرعية سوى التحقق من عنوان URL، والذي يمكن تزويره أيضًا عبر هجمات DNS.