번데기 공격

IOTA 재단 회원들과 IOTA 생태계는 번데기를 메인넷에서 보기를 간절히 바라고 있다. 이제 몇 달 동안 외부 회사의 개발, 테스트 및 감사를 거친 후 우리는 크리살리스로 전환할 준비가 되어 있다고 확신합니다.

그 직전에 우리는 IOTA 커뮤니티 회원들을 번데기 공격-아톤에 초대할 것이다.

어택 어톤으로 번데기의 여러 부분을 부수어보십시오. 여러분의 발견에 대한 보상을 받게 될 거예요!
코디케이트 테스트넷이 "Nectar" 단계에 도달한 후 출시되는 IOTA의 "인시티브 테스트넷"과 착각하지 마십시오. 이는 여전히 로드맵에 있으며 테스트넷의 "Nectar" 단계로 업그레이드한 후 발생할 것입니다.

크리살리스 어택 어톤은 보안 연구자/개발자/러스트레이시아 지향 과제이다. 모든 사람들이 참여하도록 초대되어 작은 상들을 얻으려고 노력합니다. 그것은 오히려 대중적이고 재미있는 경험으로 의도된 것이고, 여러분은 또한 우리의 보상에도 반영되어 있다는 것을 알게 될 것입니다.)

어택어톤은 약 10일간 진행되며, 2021년 3월 18일 오후 2시 UTC에서 시작하여 2021년 3월 28일 오후 11시 59분에 종료된다.

어택 어톤 챌린지의 범위
번데기 공격-a-thon의 범위에는 다음과 같은 IOTA 구성 요소가 있습니다.

IOTA 노드 소프트웨어
호넷(개발 분기)
벌(번데기-pt-2 가지)
도서관
wallet.rs (개발지점)
iota.rs (개발 지점)
NodeJS 및 Python의 바인딩(Dev 분기)
stronghold.rs (개발 지점)
범주, 보상 및 참여 방법
우리 커뮤니티가 크리살리스 네트워크에 대한 공격 가능성을 조사하는 동안 발견할 수 있는 많은 다른 것들이 있을 수 있으므로, 우리는 제출물에 대한 범주를 정의했습니다. 모든 범주는 하나 이상의 보상과 연결됩니다.

참여 규칙은 매우 간단합니다.

정의된 기간 동안 유효한 항목을 가장 먼저 제출하면 상품이 제공됩니다.
범위의 모든 문제는 개별적으로 계산됩니다(예: 주입을 통해 권한을 상승시킬 수 있는 경우 두 가지 문제로 간주됨).
크리살리스와 매우 연결되었지만 제안된 범위를 벗어난 특정 취약성일 경우 평가 위원회는 제출 횟수를 계산할 수 있다.
분류
연구 결과에 대한 네 가지 우선 순위가 정의되었습니다.
우선 순위는 기본적으로 비용/이익 비율에 관한 것입니다. 비용과 편익은 광범위한 용어로 간주되어야 한다. 비용은 노력, 시간, 비용, 조정 필요 등, 편익은 금전적, 명성, 경쟁적 이점 등이 될 수 있다.

우선 순위 1
가능성: 중간/높음(고급 리소스 거의 또는 전혀 없이 공격을 수행할 수 있음)
심각도: 네트워크를 완전히 손상/중지합니다. 많은 사용자의 균형을 임의로 변경합니다.

네트워크의 합의 분할(실제 공격)
임의 계정(도난 토큰) 테이크오버입니다.
기존 자금을 이중으로 지출하거나 "사외" 또는 재무부 출력으로 자금을 사용합니다.
네트워크 확인을 모두 중지하는 중입니다(조정자).
확인된 트랜잭션을 되돌리는 중입니다.
우선순위 2
가능성: 중간/낮음(특수 조건 하에서 공격이 수행될 수 있으며, 생성 난이도가 보통 또는 높음)
심각도: 낮은 확률로 전체 네트워크를 손상시키거나 중간 정도의 리소스로 네트워크의 특정 행위자에게 지속적으로 영향을 미칩니다.

네트워크의 합의 분할(이론적 공격)
임의 계정을 검열하여 확인을 금지합니다.
네트워크가 설정된 "검증" 규칙을 위반하는 메시지(PoW 부족, 잘못된 형식의 메시지, 침입자 규칙 등)를 수락하도록 합니다.
이클립스 공격, 임의적으로 노드의 피어링을 제어합니다.
우선 순위 3
가능성: 중간/낮은 경우, 보통 또는 높은 난이도로 특수 조건에서 공격을 수행할 수 있습니다.
심각도: 네트워크의 제한된 수의 행위자에 영향을 미치는 공격입니다.

노드가 "평균" 네트워크 부하에서 중단되거나 중단됩니다.
노드가 임의 피어에 대한 연결을 삭제합니다.
20% 이상의 해시 레이트를 보유하지 않고 전체 확인 레이트를 50% 미만으로 일관되게 낮춥니다.
단일 지갑 사용자 경험을 조작하여 원치 않는 행동을 속입니다. 잘못된 주소로 지불, 가짜 확인 상태 표시, 비밀 자료 노출, 하이잭킹 마이그레이션 프로세스.
우선 순위 4
가능성: 중간/낮음
심각도: 네트워크의 최종 사용자 가용성 중단, 가용성 중단 등

새 노드가 네트워크에 가입하지 못하도록 합니다.
지갑이 엉킴 데이터를 로드하지 못하도록 합니다.
특정 조건을 얻기 어려운 경우 개별 노드를 충돌합니다.

제외사항
평가되지 않는 사항(이슈 제출은 여전히 환영이지만):

그래픽 버그(상자의 모양이 잘못됨, 정렬되지 않은 텍스트 등)
유형(공격에 사용할 수 없는 경우)
애플리케이션별 버그를 이용하지 않고 기본 런타임 환경을 조작하는 버그(예: OS에서 실행되는 악성 프로그램, 동일한 시스템에서 악의적인 관리자 등)
코디네이터 중단 없이 많은 스팸과 노드 동기화 해제
보상
평가 위원회에서 유효한 것으로 간주되는 문제를 제출하고 IOTA 불협화음 커뮤니티 회원인 모든 사용자는 해당 커뮤니티가 인정하는 전용 탱글브레이커 배지를 받습니다.

우선 순위 1
IOTA는 Ledger NanoS를 P1 자격으로 처음 10개 제출용으로 브랜드화했습니다.
맞춤 디자인의 티셔츠*
IOTA 토큰의 €

우선순위 2
IOTA는 Ledger Nano라는 브랜드로 P2 자격인 최초 7개 제출물에 대해 판매합니다.
맞춤 디자인의 티셔츠*
IOTA 토큰의 €

우선 순위 3
IOTA는 Ledger Nano라는 브랜드로 P3에 해당하는 최초 5개의 제출물을 제출했습니다.
맞춤 디자인의 티셔츠*
IOTA 토큰 100유로

우선 순위 4
IOTA는 Ledger Nano라는 브랜드로 P4에 해당하는 최초 3건의 제출서를 작성했습니다.
맞춤 디자인의 티셔츠*
IOTA 토큰의 €

* IOTA Foundation 설계 팀별

조건
현재 안보리, OFAC 및 EU가 부과하는 국제 제재 대상 국가에 거주하고 있거나 상기 기관이 발행한 특별 지정 국가 및 차단 대상자 목록(SDN)에 개인적으로 이름을 올린 참가자에게는 상금을 지급할 수 없다.
참여 대상에서 제외되는 것은 IF의 모든 직원 및 계약자뿐 아니라 이미 번데기 코드의 모든 부분에 대해 전문적으로 작업하고 있는 모든 사람입니다.
참여방법
위에서 설명한 범주에 해당하는 문제가 발견되면 즉시 상대 GitHub 저장소로 이동하여 미리 정의된 문제 템플릿을 사용하여 Attack-a-thon 문제를 제출하십시오.

어택 어톤 이슈 템플릿
사안은 다음과 같이 구성되어야 평가위원회가 고려할 수 있다.

설명: 사용된 구성 요소(예: iota.rs python 바인딩) 및 방법

영향: 취약성과 잠재적인 영향을 설명합니다.

개념 증명: 문제를 재현하는 데 필요한 단계, 도구 및 버전을 자세히 설명합니다(개념 증명 스크립트 또는 스크린샷이 도움이 됩니다).

이 문제를 제출함으로써, 제출자는 보고서와 첨부파일이 제3자의 지적재산권을 침해하지 않는다는 것을 보증하고, 제출자는 IOTA 재단에 비독점적이고, 로열티 없는, 전세계적이고, 영구적인 사용, 복제, 파생 저작물 제작, 보고서 및 첨부파일을 발행할 수 있는 허가를 부여한다.

평가위원회
제출된 이슈는 IOTA 재단의 회원이 정확성을 검증하고, GitHub의 이슈에 회신하여 이슈의 타당성 여부를 확인하고 해당 카테고리에 대한 정의를 내린다.

2021년 4월 8일부터 당첨된 참가자들은 제출된 이슈에 대한 코멘트와 함께 안토니오 나델라 커뮤니티 매니저로부터 연락을 받게 된다.
보상을 받기 위한 다음 확인 및 정보 교환 프로세스는 이메일로 공유되는 정보와 함께 공개 요지를 게시해야 합니다.