Ang Ecosystem Support Program ng Ethereum Foundation ay nagkaloob ng grant sa Freedom of the Press Foundation upang buuin ang WEBCAT, isang proyekto na nakatuon sa paggawa ng mga frontend ng web application na verifiable at censorship-resistant. Ang tool ay disenyo upang payagan ang mga user na patunayan na ang code na tumatakbo sa kanilang browser ay talagang ang code na nais iparating ng mga developer.
Ano ang tunay na ginagawa ng WEBCAT
Ang proyekto ay nakatuon sa pag-verify ng code sa loob ng browser. Sa Ingles: ito ay nagbibigay sa iyong browser ng paraan upang suriin kung ang JavaScript, HTML, at iba pang code na ipinapadala sa iyo ay tumutugma sa mga itinanghal ng mga developer. Kung may nagbabago ng tunay na frontend para sa isang nasusunog na bersyon—maging isang masamang aktor, isang napapalitan na server, o kahit isang pinipilit na hosting provider—sasabihin ng WEBCAT nito.
Mahalaga ito nang lubos para sa mga wallet at dapp ng Ethereum, kung saan ang isang nakasiraang frontend ay maaaring magbawas ng pera nang hindi pa nagtatrabaho sa smart contract layer. Ang ilan sa pinakamasasamang crypto exploits sa nakaraang taon ay hindi talaga mga hack sa smart contract. Ito ay mga frontend attack, DNS hijack, at supply chain compromises na nagbigay ng masasamang interface sa mga user habang nananatiling intak ang mga pondo sa ilalim.
Ang proyekto ay nagpapanatili ng publikong dokumentasyon sa docs.webcat.tech at mga open-source na repository sa ilalim ng freedomofpress GitHub organization.
Bakit ang Freedom of the Press Foundation
Ang Freedom of the Press Foundation ay isang non-profit na kilala sa SecureDrop, ang open-source na sistema para sa pagsumite ng mga whistleblower na ginagamit ng mga newsroom sa buong mundo. Nag-spent ang FPF ng mga taon sa paglutas ng isang malapit na kaugnay na problema: paano matitiyak na hindi nasiraan o binago ang software na ginagamit ng source upang sumumite ng sensitibong dokumento? Ang WEBCAT ay nagpapalawak sa parehong pilosopiya sa mga browser-based na aplikasyon.
Ang parehong SecureDrop at Ethereum dapp ay nakakatagpo ng mga kalaban na makikinabang sa pagpapalit nang tahimik ng code na kinokontrol ng mga gumagamit. Para sa SecureDrop, ang kalaban ay maaaring isang estado na nagtatarget sa mga manunulat. Para sa Ethereum wallet, ito ay sinumang nais magdirekta ng mga transaksyon o manakwil ng mga private key. Ang teknikal na hamon, ang pag-verify kung ang client-side code ay hindi binago, ay pangunahing pareho.
Mas malaking larawan ng seguridad para sa Ethereum
Hindi pa inilabas ang tiyak na halaga ng grant. Ito ay karaniwan sa mga ESP allocation, na karaniwang nagtatago ng mga pampinansyal na detalye habang ginagawang pampubliko ang trabaho mismo sa pamamagitan ng open-source repositories at dokumentasyon.
Hindi limitado sa on-chain code ang attack surface para sa mga decentralized application. Ito ay umabot sa mga oracle, bridges, RPC providers, DNS registrars, CDN services, at oo, ang mga JavaScript bundle na isinasaad sa browser ng mga user. Walang paraan ang karamihan sa mga user upang patunayan na ang interface na tinatanaw nila ay legal kundi sa pamamagitan ng pagsusuri sa URL, na maaaring maspoo sa pamamagitan ng DNS attacks.