Bảo mật và báo lỗi
Trang này trả lời ba câu: báo một lỗ hổng đi đâu, dự án đã được kiểm tới đâu, và những gì bạn nên tự phòng khi dùng bất cứ mạng nào ở giai đoạn thử.
Kênh chính thức — đọc trước, vì phần còn lại dựa vào nó
Một lời cảnh báo "kẻ mạo danh là kẻ lừa đảo" chỉ dùng được khi bạn biết cái gì là thật. Đây là danh sách khép kín:
| Kênh | Địa chỉ | Dùng cho |
|---|---|---|
| Tài liệu này | docs.9chain.org | Thiết kế, cơ chế, cách tự kiểm |
| Tài liệu kỹ thuật | Site của từng nhánh: a1.9chain.org · c1.9chain.org | Kết nối, chạy node, điểm truy cập — mỗi nhánh tự công bố bộ của mình |
| Thư | contact@9chain.org | Góp ý · phản biện · báo lỗ hổng |
| Cộng đồng | t.me/LOVE_9Chain | Hỏi đáp công khai |
Ngoài danh sách này, mọi thứ khác đều không phải của dự án — không có kênh thứ năm, không có nhân viên nhắn riêng cho bạn trước, không có ví nào của dự án nhận tiền của bạn.
Báo một lỗ hổng
Gửi về contact@9chain.org. Đừng công bố chi tiết ra nơi công cộng trước khi lỗ hổng được vá — một lỗ hổng chưa vá được công bố sớm gây hại cho chính những người đang tin vào mạng, chứ không phải cho người viết ra nó.
| Bạn gửi gì | Vì sao cần |
|---|---|
| Mô tả chỗ sai và cách dựng lại | Không dựng lại được thì không vá được, và cũng không kiểm được là đã vá |
| Phạm vi ảnh hưởng bạn ước lượng | Để xếp thứ tự việc — không phải mọi lỗi đều khẩn như nhau |
| Cách liên lạc lại với bạn | Để hỏi thêm, và để ghi nhận công của bạn nếu bạn muốn |
Chúng tôi trả lời trong bao lâu
Xác nhận đã nhận trong 72 giờ. Đánh giá sơ bộ trong 7 ngày. Quá hạn mà im lặng thì hãy nhắc lại ở kênh cộng đồng — im lặng là lỗi của chúng tôi, không phải một câu trả lời.
Nói thẳng giới hạn của lời hứa này, vì bạn có quyền biết mình đang dựa vào cái gì: đây là hộp thư dùng chung cho góp ý và báo lỗi, do một đội nhỏ đọc, và chưa có kênh mã hoá đầu-cuối riêng cho báo cáo bảo mật — thứ ấy là một cổng chưa qua. Nếu điều bạn định gửi nguy hiểm tới mức không nên nằm trong một hộp thư thường, hãy gửi trước một dòng xin cách liên lạc an toàn, đừng gửi chi tiết ngay.
Cam kết với người báo lỗi thiện chí
Nếu bạn báo qua địa chỉ trên, không khai thác quá mức cần để chứng minh, không truy cập dữ liệu của người khác, và cho chúng tôi thời gian vá trước khi công bố — thì:
- chúng tôi không truy cứu bạn dưới bất kỳ hình thức nào;
- và nếu một bên thứ ba truy cứu bạn vì việc báo lỗi ấy, chúng tôi sẽ nói điều đó thay bạn.
| Cam kết này áp dụng cho | Không áp dụng cho |
|---|---|
| Mạng thử và các node công khai của dự án | Tấn công từ chối dịch vụ, hay bất kỳ việc gì làm mạng ngừng phục vụ người khác |
| Tài liệu này và trang tự kiểm chứng | Tấn công phi kỹ thuật vào con người (lừa nhân viên, giả danh) |
| Mã nguồn, khi kho mã được mở | Hạ tầng của bên thứ ba — explorer, nhà cung cấp máy chủ, ví của người dùng |
Vì sao viết cam kết này ra: ở phần lớn dự án hạ tầng, nó không tồn tại — kể cả vài dự án lớn nhất ngành. Người tìm ra lỗ hổng phải tự cân xem báo cáo có khiến mình gặp rắc rối pháp lý không, và người cân xong thường chọn im lặng. Một dòng cam kết rẻ hơn nhiều so với một lỗ hổng không ai báo.
Điều trung thực phải nói kèm: chương trình thưởng lỗi là CÒN TRỐNG — dự án chưa công bố mức thưởng nào, nên đừng báo lỗi với kỳ vọng có tiền. Việc ghi nhận công khai thì làm được ngay, và đó là thứ dự án có thể hứa mà không nói quá.
Đã được kiểm tới đâu
| Loại kiểm | Trạng thái | Đọc thêm |
|---|---|---|
| Tự soát nội bộ và bài nghiệm thu | ĐANG CHẠY | Quản trị, mục Kỷ luật vận hành |
| Kiểm định độc lập bởi bên thứ ba | Cổng bắt buộc của nấc Tài sản thật — chưa qua | Tự kiểm mạng, mục Thang trưởng thành |
| Buổi trao khoá thật cho nhiều bên giữ | Cổng chưa qua — cơ chế đã có, buổi trao thì chưa | Quản trị, mục Quản trị và ai giữ khoá |
| Phân tán tập ký ra nhiều miền hỏng độc lập | Cổng chưa qua, ngưỡng đếm được | Kiến trúc nền tảng, mục Bảo mật và chịu lỗi |
Cách đọc bảng này cho đúng: một dự án nói "chúng tôi rất coi trọng bảo mật" không cho bạn thông tin nào. Một dự án nói "kiểm định độc lập là cổng bắt buộc của nấc bốn, và chúng tôi chưa đứng ở nấc bốn" thì cho bạn một câu kiểm chứng được — và cho bạn quyền hỏi lại vào lần sau.
Hình 25 — Công bố có trách nhiệm: thứ tự quan trọng hơn tốc độ.
Ba điều bạn nên tự phòng ở giai đoạn thử
Đừng coi tài sản trên một kỳ thử là tài sản. Kỳ thử có thể bị dựng lại, số dư của bản bị bỏ không tự chảy sang bản sau, và số dư của mạng thử nghiệm không mang sang mạng chính thức — điều đó đã chốt, không phải một khả năng.
Đừng tin ai hứa một tỷ lệ quy đổi. Cách nhận LOVE9 là CÒN TRỐNG, và ai nói chắc một tỷ lệ đổi điểm ra token là đang nói thay dự án.
Đừng tin ai chào bán một suất. Sở hữu trong dự án này là một người, một suất, một lá phiếu, không mua thêm được bằng tiền — nên bất kỳ ai chào bán cho bạn một suất nhân danh dự án này đều đang lừa bạn, kể cả khi họ dùng đúng tên và đúng logo.
Câu chốt: một trang bảo mật đáng tin không phải trang khoe đã kiểm những gì, mà là trang nói rõ chưa kiểm những gì — và chỉ ra chỗ bạn tự kiểm lại được.
→ Đọc tiếp: Kinh tế LOVE9 — Ba lớp token, không được lẫn