L’initiative Trillion Dollar Security de la Fondation Ethereum a annoncé l’octroi d’une subvention à la Freedom of the Press Foundation pour soutenir les travaux sur WEBCAT, un projet open source conçu pour aider les navigateurs à vérifier le code d’un site Web par rapport à un manifeste signé.
Selon l’annonce de la Fondation du 5 août, le financement est destiné à soutenir une bibliothèque de vérification que les portefeuilles Ethereum peuvent intégrer, ainsi qu’à la recherche sur le navigateur Chromium, à l’aide à la mise en œuvre, à un audit indépendant et aux travaux de normalisation proposés.
Concentrez-vous sur l’intégrité du front-end
La Fondation a décrit un écart entre les connexions cryptées aux sites Web et la vérification que le code fourni par un site correspond au code approuvé par ses développeurs. Il a déclaré qu’une interface Web compromise pourrait modifier l’adresse d’un destinataire ou présenter aux utilisateurs une demande de signature différente de celle affichée par l’interface.
WEBCAT, abréviation de Web-based Code Assurance and Transparence, est destiné à permettre à un navigateur de comparer les ressources fournies par un site inscrit avec un manifeste signé. Le message indique que son extension alpha Firefox actuelle bloque une page et avertit l’utilisateur si la vérification échoue.
L’adoption du portefeuille et des applications est toujours nécessaire
La subvention ne rend pas automatiquement la protection disponible sur tous les portefeuilles. La Fondation a déclaré que les extensions de portefeuille devraient intégrer la bibliothèque, tandis que les équipes d’application devraient inscrire leurs domaines et fournir un manifeste signé avec chaque version.
Cette distinction est importante : l’annonce finance le travail de développement et d’adoption, plutôt que de prétendre que toutes les interfaces Ethereum sont désormais protégées par le mécanisme.
Relation avec la signature claire
La Fondation a déclaré que l’intégration proposée compléterait son travail de Clear Signing. Une signature claire est destinée à aider les gens à comprendre ce qu’ils approuvent, tandis que le travail lié à WEBCAT vise à valider l’intégrité du frontal d’une application inscrite.
L’annonce identifie la manipulation initiale et les risques liés à la chaîne d’approvisionnement comme étant le domaine problématique. Cela ne remplace pas la vérification par les utilisateurs des détails des transactions ni la maintenance par les équipes d’une infrastructure d’applications sécurisée.
