Si lees la cobertura de incidentes de uno en uno, cada suceso parece novedoso. Si lees un rastreador, vuelven las mismas formas. El valor de un registro estructurado está en que hace visible la repetición.
Casi nada de ello es criptografía rota. De forma abrumadora, los fallos tienen que ver con quién podía autorizar qué.
Compromiso de claves
Alguien obtuvo una clave capaz de mover fondos. No una ruptura matemática, sino una máquina comprometida, una dependencia maliciosa, una persona atacada de forma dirigida o una clave que ya se generó de forma débil. Es la clase más numerosa de nuestros registros por bastante diferencia; el Rastreador de Incidentes permite filtrarla directamente.
Compromiso de la interfaz de firma
La clave nunca se robó. A quien la tenía se le mostró una cosa y firmó otra. Es el modo de fallo que hace relevante la firma a ciegas, y es la razón por la que lo que muestra un dispositivo de firma es una afirmación distinta de lo que muestra la interfaz.
Autorización y control de acceso
Una función que debería haber estado restringida era alcanzable, o una lista de permitidos estaba mal configurada, o un paso de inicialización dejó un rol sin asignar. Los registros de puentes se agrupan aquí, porque un puente es en buena medida un mecanismo para decidir si una liberación está autorizada; véase conjunto de validadores.
Entradas de confianza
El sistema creyó algo que debería haber verificado: un precio que no podía defender, un peso de voto que podía alquilarse durante un bloque, un mensaje que ya había procesado. La manipulación de oráculos, los ataques a la gobernanza y los ataques de reutilización tienen todos esta forma.
Cadena de suministro
El compromiso estaba aguas arriba, en algo de lo que el proyecto dependía y no en el proyecto mismo. Un ataque a la cadena de suministro alcanza a la vez a todos los usuarios de la dependencia, y por eso esta clase produce incidentes inusualmente amplios en relación con el esfuerzo que exige.
Por qué es útil la clasificación
Porque te dice qué compra realmente un control determinado. Una cartera de hardware aborda el almacenamiento de la clave; no aborda que te muestren la transacción equivocada. Una auditoría aborda la lógica del contrato; no aborda quién tiene la clave de actualización. Emparejar una defensa con la clase frente a la que defiende es la mayor parte de la seguridad práctica, y resulta muy difícil de hacer pensando de un incidente en uno.
Cada registro de nuestro rastreador está etiquetado con su clase de ataque, de modo que puedes leer una clase en lugar de una cronología.
No es asesoramiento. Conisec informa solo a título informativo. Nada de este artículo es asesoramiento financiero, jurídico, fiscal ni de seguridad. Verifícalo con las fuentes primarias enlazadas más arriba antes de actuar.
