Bỏ qua điều hướng
Tài liệu 9Chain

Bảo mật và báo lỗi

Cập nhật lần cuối: 27/08/20266 phút đọc

Trang này trả lời ba câu: báo một lỗ hổng đi đâu, dự án đã được kiểm tới đâu, và những gì bạn nên tự phòng khi dùng bất cứ mạng nào ở giai đoạn thử.

Kênh chính thức — đọc trước, vì phần còn lại dựa vào nó

Một lời cảnh báo "kẻ mạo danh là kẻ lừa đảo" chỉ dùng được khi bạn biết cái gì là thật. Đây là danh sách khép kín:

KênhĐịa chỉDùng cho
Tài liệu nàydocs.9chain.orgThiết kế, cơ chế, cách tự kiểm
Tài liệu kỹ thuậtSite của từng nhánh: a1.9chain.org · c1.9chain.orgKết nối, chạy node, điểm truy cập — mỗi nhánh tự công bố bộ của mình
Thưcontact@9chain.orgGóp ý · phản biện · báo lỗ hổng
Cộng đồngt.me/LOVE_9ChainHỏi đáp công khai

Ngoài danh sách này, mọi thứ khác đều không phải của dự án — không có kênh thứ năm, không có nhân viên nhắn riêng cho bạn trước, không có ví nào của dự án nhận tiền của bạn.

Báo một lỗ hổng

Gửi về contact@9chain.org. Đừng công bố chi tiết ra nơi công cộng trước khi lỗ hổng được vá — một lỗ hổng chưa vá được công bố sớm gây hại cho chính những người đang tin vào mạng, chứ không phải cho người viết ra nó.

Bạn gửi gìVì sao cần
Mô tả chỗ sai và cách dựng lạiKhông dựng lại được thì không vá được, và cũng không kiểm được là đã vá
Phạm vi ảnh hưởng bạn ước lượngĐể xếp thứ tự việc — không phải mọi lỗi đều khẩn như nhau
Cách liên lạc lại với bạnĐể hỏi thêm, và để ghi nhận công của bạn nếu bạn muốn

Chúng tôi trả lời trong bao lâu

Xác nhận đã nhận trong 72 giờ. Đánh giá sơ bộ trong 7 ngày. Quá hạn mà im lặng thì hãy nhắc lại ở kênh cộng đồng — im lặng là lỗi của chúng tôi, không phải một câu trả lời.

Nói thẳng giới hạn của lời hứa này, vì bạn có quyền biết mình đang dựa vào cái gì: đây là hộp thư dùng chung cho góp ý và báo lỗi, do một đội nhỏ đọc, và chưa có kênh mã hoá đầu-cuối riêng cho báo cáo bảo mật — thứ ấy là một cổng chưa qua. Nếu điều bạn định gửi nguy hiểm tới mức không nên nằm trong một hộp thư thường, hãy gửi trước một dòng xin cách liên lạc an toàn, đừng gửi chi tiết ngay.

Cam kết với người báo lỗi thiện chí

Nếu bạn báo qua địa chỉ trên, không khai thác quá mức cần để chứng minh, không truy cập dữ liệu của người khác, và cho chúng tôi thời gian vá trước khi công bố — thì:

  • chúng tôi không truy cứu bạn dưới bất kỳ hình thức nào;
  • và nếu một bên thứ ba truy cứu bạn vì việc báo lỗi ấy, chúng tôi sẽ nói điều đó thay bạn.
Cam kết này áp dụng choKhông áp dụng cho
Mạng thử và các node công khai của dự ánTấn công từ chối dịch vụ, hay bất kỳ việc gì làm mạng ngừng phục vụ người khác
Tài liệu này và trang tự kiểm chứngTấn công phi kỹ thuật vào con người (lừa nhân viên, giả danh)
Mã nguồn, khi kho mã được mởHạ tầng của bên thứ ba — explorer, nhà cung cấp máy chủ, ví của người dùng

Vì sao viết cam kết này ra: ở phần lớn dự án hạ tầng, nó không tồn tại — kể cả vài dự án lớn nhất ngành. Người tìm ra lỗ hổng phải tự cân xem báo cáo có khiến mình gặp rắc rối pháp lý không, và người cân xong thường chọn im lặng. Một dòng cam kết rẻ hơn nhiều so với một lỗ hổng không ai báo.

Điều trung thực phải nói kèm: chương trình thưởng lỗi là CÒN TRỐNG — dự án chưa công bố mức thưởng nào, nên đừng báo lỗi với kỳ vọng có tiền. Việc ghi nhận công khai thì làm được ngay, và đó là thứ dự án có thể hứa mà không nói quá.

Đã được kiểm tới đâu

Loại kiểmTrạng tháiĐọc thêm
Tự soát nội bộ và bài nghiệm thuĐANG CHẠYQuản trị, mục Kỷ luật vận hành
Kiểm định độc lập bởi bên thứ baCổng bắt buộc của nấc Tài sản thật — chưa quaTự kiểm mạng, mục Thang trưởng thành
Buổi trao khoá thật cho nhiều bên giữCổng chưa qua — cơ chế đã có, buổi trao thì chưaQuản trị, mục Quản trị và ai giữ khoá
Phân tán tập ký ra nhiều miền hỏng độc lậpCổng chưa qua, ngưỡng đếm đượcKiến trúc nền tảng, mục Bảo mật và chịu lỗi

Cách đọc bảng này cho đúng: một dự án nói "chúng tôi rất coi trọng bảo mật" không cho bạn thông tin nào. Một dự án nói "kiểm định độc lập là cổng bắt buộc của nấc bốn, và chúng tôi chưa đứng ở nấc bốn" thì cho bạn một câu kiểm chứng được — và cho bạn quyền hỏi lại vào lần sau.

Hình 25 — Công bố có trách nhiệm: thứ tự quan trọng hơn tốc độ.

Ba điều bạn nên tự phòng ở giai đoạn thử

Đừng coi tài sản trên một kỳ thử là tài sản. Kỳ thử có thể bị dựng lại, số dư của bản bị bỏ không tự chảy sang bản sau, và số dư của mạng thử nghiệm không mang sang mạng chính thức — điều đó đã chốt, không phải một khả năng.

Đừng tin ai hứa một tỷ lệ quy đổi. Cách nhận LOVE9 là CÒN TRỐNG, và ai nói chắc một tỷ lệ đổi điểm ra token là đang nói thay dự án.

Đừng tin ai chào bán một suất. Sở hữu trong dự án này là một người, một suất, một lá phiếu, không mua thêm được bằng tiền — nên bất kỳ ai chào bán cho bạn một suất nhân danh dự án này đều đang lừa bạn, kể cả khi họ dùng đúng tên và đúng logo.

Câu chốt: một trang bảo mật đáng tin không phải trang khoe đã kiểm những gì, mà là trang nói rõ chưa kiểm những gì — và chỉ ra chỗ bạn tự kiểm lại được.

Đọc tiếp: Kinh tế LOVE9 — Ba lớp token, không được lẫn