Hack Seasons カンファレンス中に行われたこの独占インタビューでは、Veridise の研究科学者である Alp Bassa 氏が、Veridise の革新的なツール、ゼロ知識証明監査の複雑さ、ブロックチェーン セキュリティの将来についての洞察を共有しています。ディスカッションでは、業界を代表する専門家の視点から、数学、暗号化、ブロックチェーン テクノロジーの交差点を探ります。
多くの起業家は、特定の瞬間や出来事によって自分の分野に引き込まれます。Web3 に至るまでのあなたの道のりはどのようなものだったのでしょうか?
私は学術的なバックグラウンドを持っています。私は数論の研究をしている数学者で、有限体上の曲線、楕円曲線、そしてそれらの符号理論と暗号への応用に焦点を当てています。これらのツールは頻繁に使用されており、特に現在ではゼロ知識暗号が Web3 分野で大きな影響力を持っています。
そこでは興味深いことがたくさんあることに気づきました。その後、セキュリティ監査を実施し、特に ZK ドメインを専門とする Veridise で働き始めました。そこに私の専門知識がとてもよく当てはまります。
なぜセキュリティ監査が必要なのでしょうか? 開発者はセキュリティ監査なしでも作業できますか、それとも必須ですか?
システムのセキュリティには、開発段階からすでに取り入れておくべき異なる考え方が必要です。すべての開発者が、適切な仕様、動作、効率、大規模なセットアップへの統合、セキュリティの確保など、開発プロセスのすべての側面に同時に集中できるわけではありません。ほとんどの場合、セキュリティは開発プロセス全体を通じて十分にカバーされていない側面です。
開発者がさまざまな複雑なツールを正しく使用し、脆弱性がないことを保証できるほど自信を持つことは、ほぼ不可能になっています。必要なのは、単に異なる考え方を適用することだけです。監査が役立つのはそのためです。
Veridise が開発した社内ツールと、それが監査品質をどのように向上させるかについて詳しく説明していただけますか?
使用できるツールは多岐にわたります。ファジングツールのように、より原始的ですが、多くの背景知識を必要とせず、簡単にアクセスできるものもあります。静的解析ツールのように、中間のものもあります。これらは非常に高速ですが、正確性は高くなく、誤検知が発生することがあります。
さらに、SMT ソルバーやその他の数学的背景に基づいた、数学に大きく支えられたツールもあります。これらは非常に正確ですが、計算量が多くなります。私たちは、それぞれ長所と短所があるこれらすべてのツールを組み合わせて、バグや脆弱性を検出します。
Veridise が DeFi プロトコルに対して対処する独自のセキュリティ上の考慮事項にはどのようなものがありますか?
DeFi プロトコルには、どのような脆弱性を探すか、どのような構造を目指すかを事前にシステムに指示する静的分析ツールがあります。そのようなツールはたくさんあります。たとえば、2016 年の DAO ハッキングは再入攻撃が原因でした。フラッシュローン攻撃は Cream Finance への攻撃で悪用され、約 1 億 3,000 万ドルが盗まれました。
長年にわたる監査の経験を通じて、私たちは脆弱性が何であるかをよく把握しており、私たちのツールはこれらすべてをチェックするように作られています。監査中は、そのようなリスクが現れていないか、それらを一つずつ詳しく調べます。
ZK テクノロジーをどのように使用しているか、また ZK 監査が最優先事項である理由について詳しく説明してください。
ZK は形式検証の観点から特に興味深いものです。ツールの使用に非常によく適合するからです。当社には、ZK アプリケーションのチェックに特化したツールがあります。当社の手法に非常に適しているため、当社はこの分野に重点的に取り組んできました。
コア回路ライブラリに重大な脆弱性が見つかりました。私たちのチームはその分野に非常に強いため、ZK 監査の最前線に立つことを決意しました。私たちの研究のほとんどは、ZK ドメインにおける監査人の観点からのニーズと要件によって動機づけられています。
ZK 回路に関する貴社の専門知識は、他社とどのように差別化されますか?
私たちは形式検証のバックグラウンドを持っているので、ツールこそが私たちを大きく差別化していると言えるでしょう。私たちは非常に強力なツールを持っていますが、今ではプロジェクトの範囲が非常に大きくなっており、コードベースを十分にカバーするには人間の努力だけでは十分ではありません。それは必要ですが、それだけでは十分ではありません。
Veridise は監査プロセスにおいて、手動コードレビューと自動ツール分析のバランスをどのように取っているのでしょうか?
両方が必要です。監査でもそのことに気づきます。ほとんどの場合、人間による厳格な監査を行い、その後コードベースでツールを実行すると、気づかなかった脆弱性が見つかります。最初にツールを実行することもありますが、ツールでは特定の種類の構造しか検出できません。
これらのシステムには多くの複雑さと抽象化のレイヤーがあるため、ツールだけに頼るだけでは不十分です。どちらか一方が欠けてもやっていけないと感じており、それは今後も変わらないと思います。
Veridise の Vanguard ツールの主な機能は何ですか? また、スマート コントラクトのセキュリティをどのように向上させますか?
Vanguard は当社の主要ツールの 1 つです。静的分析に使用されます。静的分析では、意図した動作の特定の仕様を提供し、それが満たされているかどうか、つまりコードを実行せずに特定のプロパティが保持されているかどうかを確認します。これは動的ではありません。コードを実行するのではなく、脆弱性を引き起こす可能性のある特定のパターンがあるかどうかを静的に評価します。
Vanguard にはさまざまな種類があります。スマート コントラクトのセキュリティ向上に非常に優れた部分と、zk アプリケーションに重点を置いた部分があります。
スマート コントラクトと ZK 回路で遭遇した脆弱性について詳しく説明していただけますか?
私が主に取り組んでいる ZK 回路では、最もよく遭遇する脆弱性の 1 つは制約が不十分な回路です。ZK アプリケーションでは、コードベースはプログラム自体 (通常の実行) と制約の 2 つの部分で構成されます。制約はプログラム実行の動作を 1 対 1 で反映する必要があります。
最近の論文によると、ZK 回路の脆弱性の約 95% は制約が不十分な回路によって引き起こされています。私たちは、特に制約が不十分な回路を検出することを目的とした PICUS などのツールを持っています。
Veridise は、監査中に発見された脆弱性の開示プロセスにどのように取り組んでいますか?
もちろん、特にコードベースがすでに使用されている場合は、バグが修正される前に他の誰かがそのバグを悪用する可能性があるため、脆弱性を公表することはありません。監査プロセスの最後に、発見したすべてのバグと脆弱性のリストを顧客に提供する監査レポートを提供します。
お客様には修正のための時間を与え、その後、修正案をお送りいただきます。弊社はそれをレビューし、弊社が指摘した問題がすべて解決されているかどうかを確認します。そして、すべてを最終レポートにまとめます。レポートはお客様の所有物です。お客様の同意がない限り、公開することはありません。
Veridise の Web ページにアクセスすると、顧客が公開することに同意したすべての監査レポートのリストを見ることができます。ほとんどの場合、顧客はそれを公開することに賛成しています。実際、顧客はコードが監査され、監査後にバグが可能な限り除去されたという証明書としてそれを希望しています。
Veridise は、さまざまなブロックチェーン プラットフォームや言語に合わせて監査プロセスをどのように適応させているのでしょうか?
ご存知のとおり、この分野は非常に活気にあふれており、毎日のように新しいチェーン、新しい言語、ZK 回路を表現する新しい方法が登場しています。さまざまな環境や言語に基づくプロジェクトや監査のリクエストが寄せられていることからも、そのことがわかります。私たちは流れに沿って進み、リクエストがどこから来ているのかを確認し、近い将来にこの分野がどの方向に進化していくのかを感じています。
私たちは、コミュニティのニーズに応えるためにツールを適応させようとしています。この取り組みは今後も継続し、分野の発展に応じて動的に変更を加えていきます。
今後導入を計画しているツールについて詳しく説明していただけますか？
近い将来、ツールが変化する方向性の 1 つは、セキュリティをサービスとして提供することです。これは SaaS プラットフォームと呼ばれ、開発プロセス中にユーザーがツールを使用できるようにします。
まずプロジェクト全体を完了してから監査を行うのではなく、開発者が開発中にツールを使用できる設定でツールを活用し、開発中のコードが安全で脆弱性がないことを確認できるようにします。SaaS は近い将来に利用可能になる予定です。
DeFi の脆弱性のコードを解読: Alp Bassa によるスマート コントラクト セキュリティの詳細な分析という記事が最初に Metaverse Post に掲載されました。
