Cosmos「星际之门」漏洞赏金计划

原文作者：Zaki Manian

原文链接：https://blog.cosmos.network/cosmos-stargate-release-bug-bounty-program-1662af59c92d

Cosmos Stargate「星际之门」测试网候选发布版本（RC 版本）即将启动。负责交付此新软件的 Cosmos 团队成员非常高兴且期待能获得来自社区的帮助，以找出可能已经通过工程和集成测试的重要漏洞（Bugs）。社区的协助对我们的测试至关重要，有了社区的支持，我们将对软件版本发布更具信心。因此，针对 Stargate「星际之门」，我们将启动一个特别的漏洞赏金计划，从 10 月 8 日启动，至今年 12 月 31 日截止。与之前类似计划的奖励相比，本次漏洞赏金计划的奖励将会暂时增加，以鼓励社区积极参与并发现漏洞。

在 Hacker One 中提交你发现的漏洞吧：

https://hackerone.com/tendermint

Cosmos「星际之门」团队由 Cosmos SDK，IBC，Tendermint Core 以及 IBC Relayer 团队组成。我们坚信，想要创建强大且适应性强的区块链协议，主动发现并修复漏洞是一个非常重要的部分。

本计划旨在鼓励社区参与并帮助我们发现协议中、以及正在开发的产品中所存在的漏洞，并将会积极给予发现者奖励支持。

关于代码的近期更新主要包括，从内部序列化系统向 Protobuf 迁移，诸如状态同步等 Tendermint Core 的重要新功能，以及具有标杆意义的 Cosmos 跨链通讯协议 IBC 的首次贯彻实现。这些是安全社区需要进行审查的高优先级事项。

赏金奖励的分配将基于许多不同因素，包括影响力，风险，开发可能性和报告质量。我们将使用 CVSS（Common Vulnerability Scoring System，通用漏洞评分系统）框架，以标准化的且公平的方式对所有报告进行评分。

仅针对 Cosmos Stargate 版本，我们增加了对发现漏洞的奖励，截止日期为 2020 年 12 月 31 日，奖励主要分为以下几类：

重要：5,000 美元及以上

高：3,000 美元及以上

中：1,000 美元及以上

低：最高 200 美元

虽然没有设置计划奖励上限，但对于发现具有创造性的或严重漏洞的参与者，我们非常重视并将相应地奖励他们。Trail of Bits 团队将会评估每份报告，并负责对所提交的每个漏洞的严重性进行评级。对于高质量的报告，或是低级别但具有创造性的漏洞，我们可能选择将他们都划分至较高级别的奖励范围内。

如果我们收到完全一致的漏洞报告，我们将只给予第一个报告该漏洞的参与者奖励。基于该计划所报告的有效问题，将在修复解决后予以公布披露。

计划范围

Cosmos Stargate「星际之门」版本包含了对 Cosmos SDK，Tendermint，Gaia 和 IBC 代码库的升级和重大更改。下文是对每个项目所做更改的简单摘要以及其存储库（Repository）的链接：

Tendermint

链接：

https://github.com/tendermint/tendermint

自 2019 年 12 月开始，Cosmos Hub 采用 Tendermint v0.32 系列（最新版本 v0.32.13）进行运行。此后，在 Tendermint 的 v0.33 和 v0.34 版本中引入了重大的协议突破性升级和各种其他变更，但尚未将其部署到 Cosmos Hub 中。

更多 v0.33 和 v0.34 系列版本相关说明：

https://github.com/tendermint/tendermint/blob/master/CHANGELOG.md

我们对这些变更带来的安全回归（security regressions），风险，DoS 和其他安全性漏洞特别感兴趣。变更主要包括：

1. 从 Amino 迁移到 Protocol Buffers

案例：

https://github.com/tendermint/tendermint/issues/5423

迁移详情：

https://medium.com/tendermint/tendermint-0-34-protocol-buffers-and-you-8c40558939ae

2. 提交数据结构重构

案例：

https://github.com/tendermint/tendermint/blob/master/CHANGELOG.md#denial-of-service

3. 升级轻客户端协议

案例：

https://github.com/tendermint/tendermint/blob/master/CHANGELOG.md#false-witness

4. 升级证据处理 Reactor 协议（用于验证人问责，尤其是针对轻客户端的攻击）

5. 新的状态同步 Reactor 协议，可快速下载应用状态

6. 区块修剪

Cosmos SDK

链接：

https://github.com/cosmos/cosmos-sdk

自 2019 年 12 月开始，Cosmos Hub 采用 Cosmos-SDK v0.37 系列（最新版本 v0.37.14）进行运行。此后，在 Cosmos-SDK 的 v0.38，v0.39 和 v0.40 版本中引入了重大的协议突破性升级和各种其他变更，但尚未将其部署到 Cosmos Hub 中（请参阅主要的 v0.38.0，v0.39.0 和 v0.40.0 版本说明，或直接在 CHANGELOG 中查看所有变更日志条目。）

https://github.com/cosmos/cosmos-sdk/wiki/v0.38-Release-Notes

https://github.com/cosmos/cosmos-sdk/blob/v0.39.0/RELEASE_NOTES.md

https://github.com/cosmos/cosmos-sdk/blob/v0.40.x/RELEASE_NOTES.md

https://github.com/cosmos/cosmos-sdk/blob/master/CHANGELOG.md

从 v0.39.1（Cosmos SDK 的最新发布版本）开始，主要变更包括：

1. SDK 的主要序列化格式从 Amino 迁移到 Protocol Buffers

2. 单一应用二进制文件的介绍（+升级守护进程 daemon）

3. 用于正在进行的集成测试/测试网测试框架的新 testutil 软件包

有关这些主要升级的更多详细信息，请参见 Stargate 版本说明：

https://github.com/cosmos/cosmos-sdk/blob/v0.40.x/RELEASE_NOTES.md

Gaia (Cosmos Hub)

链接：

https://github.com/cosmos/gaia

实际上，影响 Gaia 的所有相关变更都包含在 Cosmos-SDK 存储库中。也就是说，Gaia 存储库仍编写构成应用，将所有内容组合在一起，并且是最终生成二进制文件的地方。自 12 月以来，Cosmos Hub 一直在运行 v2 系列的 Gaia 版本，而 v3 版本将包含对 Cosmos-SDK 和 Tendermint 中所有相关变更的更新，尤其是增加了对新模块（如 IBC）的支持。

IBC

链接：

https://github.com/cosmos/cosmos-sdk

跨链通讯协议（IBC）是在 Cosmos-SDK 存储库中实现的，特别是在 x/ibc 目录中。Cosmos-SDK 中所有在 x/ibc 目录中的子模块都在范围内。请参阅 IBC 实施文档与 IBC 协议规范：

https://github.com/cosmos/cosmos-sdk/tree/1b9f144b9de1b0437be8f65e06ff6f982436b56d/x/ibc/spec

https://github.com/cosmos/ics/tree/master/spec

IAVL

链接：

https://github.com/cosmos/iavl

自 2019 年 12 月开始，Cosmos Hub 采用 IAVL 的 v0.12.4 版本进行运行。此后，在 IAVL 的 v0.13，v0.14 和 v0.15 版本中引入了重大的协议突破性升级和各种其他变更，但尚未将其部署到 Cosmos Hub 中（更多 v0.13，v0.14 和 v0.15 系列版本相关说明请参阅 CHANGELOG）。我们对这些变更带来的安全回归（security regressions），风险，DoS 和其他安全性漏洞特别感兴趣。这些变更主要包括，为修剪数据库提供更好的支持和修复，以及从 Amino 序列化迁移到 Protocol Buffers。

其他

以下额外的存储库也在范围内：

1. https://github.com/iqlusioninc/signatory

仅限 ed25519 供应程序子平台，如 dalek-ed25519 和 ring。

2. https://github.com/iqlusioninc/tmkms

3. https://github.com/iqlusioninc/yubihsm.rs

仅限 ed25519 公钥和签名路径。

4. https://github.com/cosmos/ledger-cosmos

尽管与其他存储库相比，这些变更并不算多，但它们对安全性至关重要，因为它们为验证人和通证持有者处理私钥材料和安全硬件签名。

更多细节

想要有资格赢取赏金，所提交的漏洞必须是：

在相应存储库的 master 分支上有效。

对于具有至少 2 GB RAM 的 64 位计算机有效。

在有故障或是恶意的节点需少于 1/3 的 Tendermint 群集上有效。

我们关注所有可证明有安全风险的漏洞：从通过简单的单元测试便可以证明的漏洞，到需要完整群集和一系列复杂交易的漏洞。

举例来说，我们关注的漏洞包括，内存分配漏洞，竞争条件，定时攻击，信息泄漏，身份验证绕过，错误区块验证，DoS 拒绝服务攻击（特别是在应用层或协议层），写丢失漏洞，未授权的帐户或功能访问，资金被盗，通证通胀漏洞，导致恐慌的有效载荷/交易等等。同时我们还关注那些可以显示群集中超过三分之一节点可能出现故障或有恶意的漏洞。

请参阅下方链接，获取运行 Tendermint 的快速入门指南，以便您可以开始寻找捕捉漏洞。

https://tendermint.com/docs/

与 Cosmos-SDK 一起使用，请参阅下方链接，以了解更多在测试环境中启动并运行的信息。

https://cosmos.network/docs/

其余所有关联的网站，服务和子域都不在范围内，包括：

https://tendermint.com

https://cosmos.network

云服务，包括 AWS S3 云存储

尽管修复我们所使用服务中的漏洞很重要，但它们不在本次计划奖励的范围内。任何在我们所使用服务中（例如 Mailchimp，Meetup，Discord 和 Telegram）发现的漏洞，可以直接向服务提供方反馈。

机器生成的报告以及不包含任何与 Tendermint 或 Cosmos 特定测试相关内容的“咨询类”或“信息类”报告均无资格获得奖励。此外，点击劫持（clickjacking）以及涉及社会工程的相关问题也不包含在本次计划的奖励范围内。但是，我们可能会将点击劫持视为作为一条链的一部分。我们还假定在测试前和测试期间，其他对抗性软件或参与者没有破坏所有服务器环境。

更多有关提交和奖励的详细信息，请参见安全政策文档：

https://github.com/tendermint/tendermint/blob/master/SECURITY.md

您可以通过以下方式找到 Cosmos ：

官网：https://cosmos.network

论坛：https://forum.cosmos.network

微信公众号：cosmosnetwork

加微信群：irisnetwork2018 (或扫描下方图片二维码)

英文电报群：https://****/cosmosproject

中文推特：https://twitter.com/cosmoschina

英文推特：https://twitter.com/cosmos

Medium：https://blog.cosmos.network

微博：http://suo.im/5McvY0

币乎：Cosmos

—-

编译者/作者：COSMOS

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。