Начиная с этой недели, мы будем обращаться к ведущим исследователям безопасности, чтобы задать им несколько важных вопросов и поделиться их мнениями здесь. На этой неделе я связался с @gowtham_ponnana, старшим исследователем безопасности, который возглавлял команды безопасности и работал главой служб безопасности на CEX, чтобы задать ему вопрос: Какую одну вещь протоколы должны делать после аудита, но большинство команд всё ещё игнорируют? Вот что он сказал: «Самая распространённая и повторяющаяся ошибка, которую допускают команды: они сразу же выводят код в продакшн. Но именно это я говорю своей команде и клиентам — после аудита остановитесь и обсудите с исследователями любые конкретные реализации или идеи. Большинство исследователей безопасности с радостью помогут. Важно дайте им возможность ознакомиться со скриптами развертывания (или даже лучше — попросите их написать их самих) и тщательно сопровождайте их до момента выхода протокола в продакшн. Многие протоколы пропускают этот шаг: они просто избегают общения с исследователями после аудита, хотя аудит почти никогда не охватывает вопросы развертывания. Для исследователей — обязательно проверьте, совпадает ли производственный код на 100% с кодом, который вы аудировали в конце. Конечно, существует множество других аспектов OPSEC, но главное — я рекомендую им настроить программу баг-баунти (по крайней мере, самохостинговую). Это укрепляет вашу репутацию и повышает безопасность в целом». Спасибо, Gowtham, за ваши ценные мысли. Мои несколько слов: на мой взгляд, Gowtham охватил всё. Кроме того, я также рекомендую нашим клиентам использовать отдельные кошельки и устройства исключительно для подписи и ничего больше. Я также рекомендую работать в контейнеризированных средах и никогда не смешивать рабочую среду с личной.