Definisjon
En angrepsvektor er en definert vei der en angriper kan oppnå uautorisert innflytelse over et systems integritet, tilgjengelighet eller konfidensialitet. I sikkerhet for blockchain (blockchain) og smart contracts viser det til den konkrete mekanismen, tilstanden eller interaksjonsmønsteret som kan utnyttes for å utløse utilsiktet atferd eller hente ut verdi. Angrepsvektorer kan oppstå fra designfeil i protokollen, implementasjonsfeil eller utrygge antakelser om eksterne komponenter som en Oracle.
I motsetning til en generell sårbarhet, som er en svakhet i systemet, beskriver en angrepsvektor hvordan denne svakheten faktisk nås og utnyttes i praksis av en motpart. For eksempel er en Reentrancy-tilstand i en smart contract en sårbarhet, mens sekvensen av kall og tilstandsendringer som gjør den utnyttbar, utgjør angrepsvektoren. Sikkerhetsgjennomganger, Bug Bounty-programmer og White Hat-forskning fokuserer på å identifisere og beskrive angrepsvektorer før de blir gjort om til et aktivt Exploit.
Kontekst og bruk
I avanserte diskusjoner om krypto-sikkerhet brukes begrepet angrepsvektor til å kategorisere og formidle den presise veien for potensiell kompromittering i komplekse, komponerbare systemer. Det kan beskrive lavnivåproblemer i smart contract-logikk, interaksjoner på tvers av contracts, insentivsvikt på protokollnivå eller avhengigheter til off-chain datakilder og infrastruktur. Kartlegging av angrepsvektorer bidrar til å formalisere trusselmodellen til en protokoll og tydeliggjøre hvilke antakelser, som for eksempel hvor pålitelig en Oracle er, som er mest kritiske.
Angrepsvektorer dokumenteres ofte i post mortem-analyser av hendelser, der hele kjeden av betingelser som førte til et Exploit, rekonstrueres. De dukker også opp i Bug Bounty-avsløringer, der White Hat-forskere spesifiserer de eksakte forhåndsbetingelsene og transaksjonsmønstrene som kreves for å utløse problemet. Over tid blir tilbakevendende angrepsvektorer, som de som involverer Reentrancy eller feilkonfigurerte tilgangskontroller, standardkategorier i sikkerhetstaksonomier og danner grunnlag for beste praksis for protokolldesign og revisjon.