Die Bedeutung von DevSecOps für Blockchain, dezentrale Protokolle und Anwendungen

F5-Ökosystem | 26. Oktober 2022

Kevin JonesSenior-Produktmanager | F5 NGINX

Sicherheit war schon immer einer der wichtigsten Aspekte der Informationstechnologie. Heute verfolgen viele Unternehmen und ihre Entwickler bei der Entwicklung von Anwendungen einen „Security First“-Ansatz. Diese Grundsätze und Maßnahmen werden häufig unter dem Begriff „DevSecOps“ zusammengefasst, der die gesamte Kultur und Herangehensweise im Bereich der Anwendungssicherheit umfasst. DevSecOps steht für Entwicklung, Sicherheit und Betrieb. Ziel ist es, den „Security First“-Ansatz in allen Bereichen der Informationstechnologie und Infrastruktur zu verankern.

Einer der neueren und spannendsten Bereiche der Informationstechnologie ist die Blockchain. Sie umfasst ein riesiges Ökosystem aus dezentralen Protokollen und Anwendungen, die uns in eine weiterentwickelte Version des Internets führen sollen, die viele als Web3 bezeichnen.

Was ist Web3 und was genau ist eine dezentrale Anwendung?

Der Begriff Web3 umfasst verschiedene Konzepte, die sich auf Aspekte der Anwendungsarchitektur und der Benutzererfahrung konzentrieren:

Dezentralisierung
Offenheit
Unveränderlichkeit
Programmierbarkeit
Transparenz

Diese Kernkonzepte zielen darauf ab, den Nutzern mithilfe der Public-Key-Kryptografie wieder die Kontrolle über ihre Identität zu geben und durch verschiedene Blockchain-Mechanismen und -Protokolle die Verbreitung der Peer-to-Peer-Ökonomie zu fördern. Viele Blockchains und die zugehörigen Protokolle können komplexe Transaktionen verarbeiten und Zustände mithilfe von Smart Contracts verwalten, die in isolierten virtualisierten Umgebungen ausgeführt werden.

Diese werden anschließend über einen sogenannten Konsensalgorithmus auf allen Knoten im Netzwerk synchronisiert. Dieser Mechanismus ermöglicht es Benutzern oder Knoten, sich in einer verteilten Umgebung so abzustimmen, dass sich alle Knoten im System auf eine einzige verlässliche Datenquelle einigen können, selbst wenn einige Teilnehmer ausfallen. Darüber hinaus sind viele Blockchains zensurresistent, da ihre Protokolle offen und erlaubnisfrei sind.

Wie sieht die Landschaft aus?

Eine Blockchain-basierte Architektur birgt ein zusätzliches Risiko, da das Rückgrat des Netzwerks in der Regel auf einer digitalen, tokenbasierten Kryptowährung beruht, die üblicherweise einen Geldwert besitzt. Diese Token werden unter Adressen verwahrt, die im Allgemeinen in extern verwalteten Konten oder innerhalb von Smart Contracts gespeichert sind. Und da durch den Einsatz von Public-Key-Kryptografie auch das Vertrauen dezentral verteilt ist, kann jede Adresse im Netzwerk zum Ziel eines Angriffs werden.

Der Kontostand jedes Kontos wird im gesamten Netzwerk in einem sogenannten öffentlichen Hauptbuch (Public Ledger) erfasst und ist für jedermann einsehbar. Dadurch können Hacker gezielt bestimmte Nutzer oder Verträge ins Visier nehmen. Datenschutz und Anonymität sind daher bei Blockchains besonders wichtig. Häufig werden die Personen, die diese Konten verwalten, entweder selbst zum Ziel von Angriffen oder können ihre Position für rechtswidrige Handlungen ausnutzen. Zu den Bedrohungen zählen:

Social Engineering
Unzureichend verwaltete Vertrauensstellungen oder Schlüssel
Veruntreuung und Betrug
Betrugsmaschen

Darüber hinaus ist der technologische Fußabdruck dieser verschiedenen Blockchain-Technologien, Protokolle und dezentralen Anwendungen bereits groß und wächst schnell. Daher ist es wichtig, die Sicherheitsauswirkungen dieses schnell wachsenden Ökosystems zu berücksichtigen. Alles, was auf dem Grundprinzip der Dezentralisierung aufbaut, verfügt über eine größere Angriffsfläche und damit über mehr potenzielle Angriffspunkte, die sorgfältig analysiert und abgesichert werden sollten.

Im Folgenden finden Sie einige Themen, die Sie bei der Sicherheitsprüfung Ihrer dezentralen Anwendungen und Technologieinfrastruktur berücksichtigen sollten:

Layer-1-Blockchains (Bitcoin und Ethereum)
Layer-2-Blockchains (Sidechains und Rollups)
Smart Contracts
Compiler
Software-Wallets
Hardware-Wallets
Blockchain-Clients (Miner und Validatoren)
Verwahrende Börsen (zentralisiert)
DeFi-Börsen (dezentralisiert)
Anbieter
Marktplätze (NFTs)

Häufige Angriffsvektoren bei Smart Contracts

Wenn wir über DevSecOps im Entwicklungslebenszyklus einer Anwendung sprechen, meinen wir in der Regel eine sicherheitsorientierte Entwicklung. Dies wird häufig auch als „Shift Left“ der Sicherheit bezeichnet. Es ist einer der wichtigsten Aspekte der DevSecOps-Kultur, da Entwickler dabei von Anfang an Sicherheit als Code betrachten. Da Blockchain-basierte Smart Contracts Werte speichern und wie eine Bank agieren können, ist der darin enthaltene Code besonders anfällig für Angriffe und sollte unter Einhaltung strenger Sicherheitsvorgaben geschrieben werden.

In der Branche kam es bereits zu mehreren Hackerangriffen auf Smart Contracts, bei denen Schwachstellen ausgenutzt wurden und meist der Code im Visier stand. Einer der größten Hackerangriffe der Geschichte ereignete sich im vergangenen Jahr, als Poly Network, ein Cross-Chain-Protokoll, meldete, dass ein Angreifer einen Smart Contract gehackt und durch die Übertragung verschiedener Vermögenswerte an externe, von ihm kontrollierte Wallet-Adressen umgerechnet 610 Millionen US-Dollar erbeutet hatte.

Bei der Entwicklung von Smart Contracts gibt es zahlreiche Schwachstellen. Zu den häufigsten Angriffen zählen:

Unterlauf und Überlauf – Treten typischerweise auf, wenn vorzeichenlose Ganzzahlen durch arithmetische Operationen ihre maximale Bytegröße erreichen. Dadurch kommt es zu einem „Umschlag“ des Werts, was zu unerwartetem Verhalten in der Geschäftslogik Ihrer Anwendung führen kann.
Contract-Reentrancy – Das Ausnutzen eines Smart Contracts durch wiederholte Wiedereintritte, wobei der Angreifer in der Regel mehr Guthaben abhebt, als zulässig sein sollte.
Transaktions-Front-Running – Dies bezeichnet den Vorgang, bei dem jemand technologische Mittel oder einen Marktvorteil nutzt, um vorab Kenntnis von bevorstehenden Transaktionen zu erlangen.
Unzureichend verwaltete Geheimnisse.
Unzureichend implementierte Zugriffskontrolle.

Was können Sie tun, um gleiche Wettbewerbsbedingungen zu schaffen?

Etablieren Sie eine Kultur, in der Sicherheit an erster Stelle steht. DevSecOps-Konzepte sind ein hervorragender Ausgangspunkt für Unternehmen, die eine sicherheitsorientierte Kultur aufbauen möchten.
Führen Sie Audits durch. Audits ermöglichen einen neuen Blick auf die Anwendungslogik und betriebliche Prozesse, helfen dabei, Schwachstellen im Code aufzudecken, und stärken das Vertrauen der Nutzer in Ihre Anwendung. MythX und Slither sind hervorragende Tools für die Prüfung von Ethereum-Smart-Contracts.
Bieten Sie Bug-Bounties an und führen Sie Crowdsourcing-Penetrationstests durch. Crowdsourcing im Sicherheitsbereich ist eine bewährte Methode, um Ihre Sicherheitslage zu verbessern. Indem Sie Ihr Unternehmen an Bug-Bounty-Programmen teilnehmen lassen und Ihre Anwendungen und Infrastruktur Penetrationstests unterziehen, können Sie Schwachstellen und Hackerangriffen einen Schritt voraus sein.
Verfolgen Sie eine Open-Source-Strategie. Die Transparenz Ihrer Anwendung ist bei einer Technologie wie der Blockchain wichtig, da sie es den Teilnehmern ermöglicht, sich auf Grundlage der Überprüfung und Prüfung Ihres Codes bewusst für eine Teilnahme zu entscheiden. Darüber hinaus sorgen Open-Source-Komponenten dafür, dass Ihr Projekt innerhalb der Community stärker zur Rechenschaft gezogen werden kann.
Implementieren Sie Mehrfachsignaturen für administrative Vorgänge. Durch die Implementierung von Smart Contracts mit einer Mehrfachsignatur-Architektur für administrative Funktionen wie die Übertragung von Eigentumsrechten und Geldern sowie andere kritische Vorgänge erhält Ihre Anwendung eine zusätzliche Sicherheitsebene.

Fazit

Blockchain, dezentrale Anwendungen und die verschiedenen zugehörigen Protokolle entwickeln sich rasant. Diese neuen und spannenden Möglichkeiten zur Bereitstellung von Anwendungen haben das Potenzial, zahlreiche Branchen grundlegend zu verändern. Es ist jedoch unerlässlich, dass wir Sicherheit von Anfang an in den Mittelpunkt stellen und, wo immer möglich, eine DevSecOps-Kultur etablieren.

Weiterführende Literatur

Ein guter erster Schritt für alle, die sich mit Blockchain beschäftigen möchten, ist das zugehörige Whitepaper des Protokolls, auf dem sie aufbauen:

Untersuchen Sie anschließend frühere Hacks und Sicherheitslücken und versuchen Sie sogar, den Hack in Ihrer Entwicklungsumgebung nachzustellen.

Um praktische Erfahrungen mit der Sicherheit von Ethereum zu sammeln, empfehle ich die folgenden Capture-the-Flag-Programme (CTF). Dabei sind Schwachstellen oder „Flags“ in absichtlich verwundbaren Programmen oder Websites versteckt, um die Grundlagen der IT-Sicherheit zu vermitteln.