코드 호크스 콘테스트: 첫 비행 보안 감사 개요

### 퍼스트 플라이트 소개: 스마트 컨트랙트 보안 연구 이니셔티브
* 👋 주니어 보안 연구자들이 스마트 컨트랙트 감사라는 어려운 세계를 탐색할 수 있도록 돕기 위한 새로운 시리즈 **'퍼스트 플라이트'**를 소개하는 코드 호 콘테스트에 오신 것을 환영합니다.
* 🚀 록스타 패트릭 콜린스은 **퍼스트 플라이트가 금전적인 부담 없이 버그를 찾는 연습**을 할 수 있는 관리 가능한 코드베이스를 제공하여 신입 연구원들에게 디딤돌 역할을 한다고 설명합니다.
* 📜 검토 중인 첫 번째 코드베이스는 **약 20~30줄의 코드**로 구성된 간단한 비밀번호 저장 스마트 컨트랙트로, 사용자가 비밀번호를 안전하게 저장하고 검색할 수 있도록 설계되었습니다.
* 🔍 코드의 의도된 기능을 이해하는 것이 잠재적인 버그를 식별하는 데 중요하므로 참가자는 **문서를 읽으면서 맥락을 파악**하는 것이 좋습니다.
* 🔧 코드베이스에는 **계약 소유자만 액세스할 수 있는 비밀번호 설정 기능**과 **다른 사람이 호출하면 되돌릴 수 있는 비밀번호 가져오기 기능**이 포함되어 보안 감사에서 비즈니스 로직의 중요성을 강조합니다.
* 🛠 코드 복잡성을 추정하고 명백한 버그에 대한 정적 분석을 수행하는 데 도움이 되는 **Solidity Metrics 및 Slither와 같은 도구**가 도입되어 철저한 테스트 및 검토 프로세스의 필요성이 강화되었습니다.
* 💬 이 세션에서는 **100% 테스트 커버리지가 유익하지만 테스트의 정확성을 보장하지는 않는다는 점**을 강조하며, 연구자가 접하는 테스트를 비판적으로 평가할 것을 권장합니다.
* 🎓 마지막으로 패트릭은 참가자들에게 **디파이와 같은 특정 영역을 이해하는 것이 관련 프로토콜을 감사하는 데 필수적**이지만 **모든 스마트 컨트랙트를 감사하는 데 반드시 필요한 것은 아니므로 블록체인 개발의 다양한 영역에서 전문화**가 가능하다고 안심시켰습니다.

### 스마트 컨트랙트 감사에서 보안 검토 및 제출에 대한 인사이트
* 🔍 이 토론에서는 보안 검토에 **Slither 도구**를 사용하는 것에 대해 논의하며, Python의 한계로 인해 성능이 느리긴 하지만 **코드베이스의 재입력 문제와 같은 잠재적 취약성**을 식별하는 데 도움이 된다는 점을 강조합니다.
* 💡 파이썬 엔지니어가 인사이트를 제공할 수 있는 좋은 기회인 **현재 진행 중인 Viper 경쟁 컴파일러 감사**에 참여하실 것을 권장합니다.
* ⚙ 수동 검토 전에 자동화된 도구를 실행하는 것의 중요성이 강조되고 있으며, **Slither는 감사 프로세스를 안내할 수 있는 유용한 결과물**을 제공합니다.
* 📊 최근 Slither를 실행한 결과, '소유자' 변수의 불변성에 관한 결과가 나왔는데, 가스 비용을 절약하기 위해 **불변성을 유지해야 한다**고 제안했지만 현재 콘테스트에는 해당 결과가 유효하지 않을 수 있습니다.
* 📝 심사위원이 쉽게 이해할 수 있도록 **근본 원인과 영향을 결합한 명확한 제목**의 필요성 등 코드 호크스 조사 결과를 제출하는 절차에 대해 설명합니다.
* 📈 제출 시에는 **코드에 대한 관련 GitHub 링크, 문제 요약, 가능성 및 영향에 따른 심각도 평가**와 함께 발견 사항을 분류하는 방법에 대한 지침을 제공해야 합니다.
* 🔗 커뮤니티는 명시적으로 허용되지 않는 한 **가스 최적화를 피하고 보안 관련 제출에 집중**하고 주장을 입증할 수 있는 개념 증명을 제공해야 합니다.
* 📅 마지막으로, 참석자들은 스마트 컨트랙트 개발에서 보안의 중요성을 강조하면서 **보다 안전한 웹3.0 환경**을 조성하기 위해 질문을 던지고 토론에 계속 참여하도록 권장됩니다.

첫 비행은 재정적 부담 없이 실습과 협업 학습을 위한 관리 가능한 코드베이스를 제공함으로써 주니어 보안 연구원의 역량을 강화합니다.

Kick-Off | First Flight #1: PasswordStore | Juliettech with Patrick Collins

Book a smart contract audit here 👇
https://www.cyfrin.io/


Cyfrin Audits

첫 비행: 보안 연구자를 위한 새로운 이니셔티브

퍼스트 플라이트 이니셔티브는 주니어 보안 연구원들에게 디딤돌을 제공하는 것을 목표로 하며, 금전적 이해관계 없이 실습과 협업을 위한 소규모 코드베이스를 제공합니다.

첫 번째 검토 대상 코드베이스는 20~30줄에 불과한 매우 작은 크기로, 연구자가 감사에 필요한 시간을 예측할 수 있도록 설계되었습니다.

이 이니셔티브는 또한 코드 복잡성과 코드 줄 수를 측정하는 도구를 제공하여 웹 3.

0 분야의 보안 연구자들의 학습과 성장을 촉진합니다.

스마트 컨트랙트 보안 감사 시작

스마트 컨트랙트 감사를 위해서는 컨텍스트를 파악하는 것이 중요하며, 코드베이스의 README는 필수 정보를 제공합니다.

이 프로젝트의 목표는 무단 액세스를 방지하는 데 중점을 둔 안전한 비밀번호 저장 및 검색 시스템을 만드는 것입니다.

코드베이스에는 이전 감사를 통해 알려진 문제가 포함되어 있어 참여자가 문제를 파악하고 해결할 수 있는 기회를 제공합니다.

이 강연자는 스마트 컨트랙트 보안 연구원이 사용하는 틴초 방법에서 영감을 받아 코드베이스를 감사하는 프로세스에 대해 설명합니다.

가장 작은 컨트랙트부터 시작하여 점진적으로 작업하는 것이 중요하다는 점을 강조하며, 코드를 컴파일하고 컨텍스트에 대한 테스트를 실행하는 것의 중요성도 강조합니다.

연사는 실시간 감사 중에 10만 달러 규모의 취약점을 발견한 경험을 공유하며, 코드 검토 과정을 부담스러워하지 않도록 조금씩 진행할 것을 권장합니다.

솔리디티 비밀번호 저장소 계약 분석

컨트랙트는 소유자가 비밀번호를 업데이트할 수 있는 개인 비밀번호를 저장하도록 설계되었습니다.

소유자가 새 비밀번호를 설정할 수 있는 setPassword와 소유자의 비밀번호를 검색하는 getPassword라는 두 가지 주요 함수가 있습니다.

코드베이스는 작고 간단하여 스마트 컨트랙트 기능을 이해하기에 좋은 출발점이 됩니다.

스마트 컨트랙트 감사를 위한 도구 및 기술

코드베이스 작성에 널리 사용되는 도구는 Foundry와 하드햇이며, Foundry는 더 빠른 테스트 실행과 솔리디티 전용 접근 방식을 제공합니다.

테스트 커버리지 100%는 개발자의 테스트에 대한 노력을 나타내는 좋은 지표이지만, 테스트가 효과적이라는 보장은 없습니다.

효과적인 감사를 위해서는 프로토콜의 비즈니스 로직과 의도를 이해하는 것이 중요하며, Slither와 같은 도구는 코드베이스에서 명백한 버그를 식별하는 데 도움이 될 수 있습니다.

이 강연자는 Python 코드베이스의 보안 검토를 위해 Slither 도구를 실행하는 방법에 대해 설명하며 느린 성능에 대해 언급합니다.

현재 진행 중인 Viper 경쟁 컴파일러 감사와 Slither가 탐지하는 일반적인 취약점을 강조합니다.

또한 도구의 사용법, 자동화된 도구 실행의 중요성, 가스 개선 및 불변 변수에 대한 Slither의 피드백에 대한 질문도 다룹니다.

코드 호크스에서 발견 사항 제출하기

Patrick은 프로젝트를 배포하고, 명령을 실행하고, 테스트 커버리지와 코드를 분석하는 프로세스를 공유했습니다.

그는 프로젝트의 컨텍스트와 역할을 이해하고 분석을 위해 Slither와 같은 도구를 사용하는 것이 중요하다고 강조했습니다.

그런 다음, 명확한 제목과 심각도, 상세한 발견 정보 제공의 중요성을 강조하며 Code Hawks에서 발견한 내용 제출하는 프로세스를 안내했습니다.

코드베이스의 취약성의 심각도는 가능성과 영향력의 매트릭스에 따라 높음, 중간, 낮음으로 분류됩니다.

높은 영향은 자금에 대한 직접적인 위험 또는 심각한 기능 중단과 관련이 있으며, 낮은 영향은 자금에 대한 위험이 없는 사소한 문제와 관련이 있습니다.

심사위원들이 제출 절차를 더 쉽게 진행할 수 있도록 취약점을 유발하는 특정 코드 줄에 대한 관련 GitHub 링크가 제공됩니다.

Web3 개발과 보안 연구의 중복성

0 개발과 스마트 컨트랙트 보안 연구는 비슷한 기술을 공유하며, 뛰어난 개발자가 보안 연구원으로도 활약하는 경우가 많습니다.

개발자는 코드를 방어하고 연구자는 코드를 공격하는 등 두 역할의 초점은 다르지만 서로를 보완합니다.

보안 문제에 대한 조사 결과를 제출하려면 요약, 취약성 세부 정보, 영향, 사용된 도구, 보안 개선을 위한 프로토콜 권장 사항 등 구조화된 형식을 갖춰야 합니다.

프로토콜 문제에 대한 조사 결과 제출하기

프로토콜에 잠재적인 재진입을 제출할 때는 수정의 필요성을 증명하는 것이 중요합니다.

코드 변경 및 권장 사항을 포함한 명확하고 간결한 증거를 제공하면 문제가 해결될 가능성이 높아집니다.

입증 책임은 제출자에게 있으므로 주장을 뒷받침할 수 있는 테스트 사례와 같은 강력한 증거를 제공하는 것이 필수적입니다.