O Programa de Suporte ao Ecossistema da Ethereum Foundation concedeu uma bolsa à Freedom of the Press Foundation para desenvolver o WEBCAT, um projeto voltado para tornar as interfaces de aplicações web verificáveis e resistentes à censura. A ferramenta foi projetada para permitir que os usuários confirmem que o código executado em seu navegador é realmente o código que os desenvolvedores pretendiam disponibilizar.
O que o WEBCAT realmente faz
O projeto se concentra na verificação de código no navegador. Em inglês: ele fornece ao seu navegador uma maneira de verificar se o JavaScript, HTML e outros códigos servidos a você correspondem ao que os desenvolvedores publicaram. Se alguém — seja um ator malicioso, um servidor comprometido ou até mesmo um provedor de hospedagem coagido — substituir a interface real por uma versão envenenada, o WEBCAT sinalizaria isso.
Isso é extremamente importante para carteiras e dapps do Ethereum, onde uma frente comprometida pode esvaziar fundos sem nunca tocar na camada de contrato inteligente. Alguns dos ataques mais danosos à criptomoeda nos últimos anos não foram ataques a contratos inteligentes. Foram ataques à frente, sequestros de DNS e comprometimentos da cadeia de suprimentos que serviram aos usuários interfaces maliciosas, enquanto os protocolos subjacentes permaneceram perfeitamente intactos.
O projeto mantém documentação pública em docs.webcat.tech e repositórios de código aberto sob a organização freedomofpress no GitHub.
Por que a Freedom of the Press Foundation
A Freedom of the Press Foundation é uma organização sem fins lucrativos conhecida principalmente pelo SecureDrop, o sistema de submissão anônima de fontes de código aberto utilizado por redações em todo o mundo. A FPF passou anos resolvendo um problema intimamente relacionado: como garantir que o software usado pela fonte para enviar documentos sensíveis não tenha sido alterado? O WEBCAT estende essa mesma filosofia para aplicações baseadas em navegador.
Tanto o SecureDrop quanto os dapps de ethereum enfrentam adversários que se beneficiariam de modificar silenciosamente o código com o qual os usuários interagem. Para o SecureDrop, esse adversário poderia ser um ator estatal visando jornalistas. Para carteiras de ethereum, é qualquer pessoa que queira redirecionar transações ou roubar chaves privadas. O desafio técnico — verificar se o código do lado do cliente não foi alterado — é fundamentalmente o mesmo.
O quadro maior de segurança para Ethereum
A quantia específica da bolsa não foi divulgada. Isso é bastante comum para alocações de ESP, que tendem a manter os detalhes financeiros em sigilo, enquanto tornam o trabalho público por meio de repositórios e documentação de código aberto.
A superfície de ataque para aplicações descentralizadas não se limita ao código on-chain. Ela se estende por oráculos, pontes, provedores RPC, registradores DNS, serviços CDN e, sim, pelos pacotes JavaScript servidos aos navegadores dos usuários. A maioria dos usuários não tem como verificar se a interface que estão vendo é legítima além de verificar a URL, que também pode ser falsificada por meio de ataques DNS.