Ορισμός
Ένα attack vector είναι μια καθορισμένη «οδός» μέσω της οποίας ένας επιτιθέμενος μπορεί να αποκτήσει μη εξουσιοδοτημένη επιρροή στην ακεραιότητα, διαθεσιμότητα ή εμπιστευτικότητα ενός συστήματος. Στην ασφάλεια blockchain (blockchain) και smart contracts, αναφέρεται στον συγκεκριμένο μηχανισμό, κατάσταση ή μοτίβο αλληλεπίδρασης που μπορεί να εκμεταλλευτεί κάποιος για να προκαλέσει μη προβλεπόμενη συμπεριφορά ή να αποσπάσει αξία. Τα attack vectors μπορεί να προκύψουν από σφάλματα στον σχεδιασμό του πρωτοκόλλου, λάθη στην υλοποίηση ή μη ασφαλείς παραδοχές σχετικά με εξωτερικά στοιχεία, όπως ένα Oracle.
Σε αντίθεση με μια γενική ευπάθεια, που είναι μια αδυναμία του συστήματος, ένα attack vector περιγράφει το πώς αυτή η αδυναμία προσεγγίζεται και αξιοποιείται στην πράξη από έναν αντίπαλο. Για παράδειγμα, μια συνθήκη Reentrancy σε ένα smart contract είναι ευπάθεια, ενώ η ακολουθία κλήσεων και αλλαγών κατάστασης που την καθιστούν εκμεταλλεύσιμη αποτελεί το attack vector. Οι έλεγχοι ασφαλείας, τα προγράμματα Bug Bounty και η έρευνα από White Hat εστιάζουν στον εντοπισμό και την περιγραφή attack vectors πριν αυτά μετατραπούν σε ενεργό Exploit.
Πλαίσιο και Χρήση
Σε προχωρημένες συζητήσεις γύρω από την ασφάλεια στο crypto, ο όρος attack vector χρησιμοποιείται για να κατηγοριοποιήσει και να περιγράψει με ακρίβεια τη διαδρομή μιας πιθανής παραβίασης μέσα σε πολύπλοκα, συνθέσιμα συστήματα. Μπορεί να περιγράφει ζητήματα χαμηλού επιπέδου στη λογική ενός smart contract, αλληλεπιδράσεις μεταξύ συμβολαίων, αποτυχίες κινήτρων σε επίπεδο πρωτοκόλλου ή εξαρτήσεις από off-chain πηγές δεδομένων και υποδομές. Η χαρτογράφηση των attack vectors βοηθά στη διαμόρφωση του threat model ενός πρωτοκόλλου και ξεκαθαρίζει ποιες παραδοχές, όπως η αξιοπιστία ενός Oracle, είναι πιο κρίσιμες.
Τα attack vectors καταγράφονται συχνά σε post-mortems περιστατικών, όπου ανασυντίθεται ολόκληρη η αλυσίδα συνθηκών που οδήγησε σε ένα Exploit. Εμφανίζονται επίσης σε Bug Bounty disclosures, όπου οι White Hat ερευνητές προσδιορίζουν τις ακριβείς προϋποθέσεις και τα μοτίβα συναλλαγών που απαιτούνται για να ενεργοποιηθεί το ζήτημα. Με τον χρόνο, επαναλαμβανόμενα attack vectors, όπως αυτά που αφορούν Reentrancy ή λανθασμένα ρυθμισμένους ελέγχους πρόσβασης, γίνονται τυπικές κατηγορίες σε ταξινομήσεις ασφαλείας και διαμορφώνουν βέλτιστες πρακτικές για τον σχεδιασμό και τον έλεγχο πρωτοκόλλων.