以太坊基金会がWEBCATにセキュリティ助成金を提供、ウォレットのフロントエンドコード検証によるフィッシング攻撃対策を支援

Odaily 星球日报讯 以太坊基金会（Ethereum Foundation）傘下の「トリリオンダラー・セキュリティ計画」（Trillion Dollar Security、1TS）は、フリーソフトウェア財団（Freedom of the Press Foundation、FPF）への特別助成を発表し、オープンソースツールWEBCATの継続的な開発を支援することで、イーサリアムウォレットと分散型アプリケーション（DApp）に長年存在するフロントエンドコード検証のセキュリティ上の欠陥に対処するとした。

WEBCAT（Web-based Code Assurance and Transparency）は、ブラウザがウェブサイトに読み込まれるコードが開発者が公開したバージョンと一致しているかを検証するのに役立つオープンソースツールである。今回の助成により、WEBCATのイーサリアムウォレットおよびアプリケーションシナリオへの拡張が促進され、ユーザーがアクセスするフロントエンドページが改ざんされていないことを検証できるようになる。

以太坊基金会は、現在のHTTPSはユーザーが接続するウェブサイトを検証し通信を暗号化することはできるが、ウェブサイトが実際に実行しているフロントエンドコードが開発者が公開したバージョンであることを証明することはできないと述べている。攻撃者がウェブサイトのフロントエンドコードを制御した場合、ユーザーが気付かないうちに取引受取アドレスを変更したり、ページに表示される内容と一致しないトランザクションへの署名を誘導したりする可能性がある。

以太坊基金会は、フロントエンド攻撃がブロックチェーンインフラストラクチャの重要なセキュリティリスクとなっており、悪意を持ってウェブインターフェースを改変することで、サプライチェーン攻撃、DNSハイジャック後の攻撃、ユーザーインターフェースのなりすましといった問題を引き起こす可能性があると述べている。

WEBCATは当初、Freedom of the Press Foundationによって開発され、SecureDropなどの安全な通信システムにおけるコードの信頼性を高めるために使用されてきた。今回イーサリアムエコシステムに拡張されたことで、1TS計画における「クリアサイニング（Clear Signing）」などのセキュリティ対策と相互補完的な関係を築く。前者はウォレットがアプリのフロントエンドが改ざんされていないことを確認するのに役立ち、後者はユーザーが自分が承認しようとしている取引内容を理解するのに役立つ。