[논문 리뷰] Security checklists for Ethereum smart contract development: patterns and best practices

Lodovica Marchesi, Michele Marchesi외 2명|arXiv (Cornell University)|2020. 08. 09.

Blockchain Technology Applications and Security인용 수 9

한 줄 요약

이 논문은 이더리움 스마트 컨트랙트 개발을 위한 보안 체크리스트를 설계, 코딩, 테스트 단계로 정리하여 솔리디티(Solidity)에서 16개의 보안 패턴과 최선의 실천 방법을 적용하는 데 도움을 주는 것을 제안한다. 주요 기여는 실생활에서 활용 가능한 맞춤형 체크리스트 프레임워크로, 스마트 컨트랙트 생명주기 전반에서 보안을 체계적으로 검증함으로써 업무 핵심 DApp의 취약성을 줄이는 데 있다. 이 프레임워크는 스프레드시트 형태로 공개되어 있어 사용자가 쉽게 활용할 수 있다.

ABSTRACT

In recent years Smart Contracts and DApps are becoming increasingly important and widespread thanks to the properties of blockchain technology. In most cases DApps are business critical, and very strict security requirements should be assured. Developing safe and reliable Smart Contracts, however, is not a trivial task. Several researchers have studied the security issues, however none of these provide a simple and intuitive tool to overcome these problems. In this paper we collected a list of security patterns for DApps. Moreover, based on these patterns, we provide the reader with security assessment checklists that can be easily used for the development of SCs. We cover the phases of design, coding, and testing and deployment of the software lifecycle. In this way, we allow developers to easily verify if they applied all the relevant security patterns to their smart contracts. We focus all the analysis on the most popular Ethereum blockchain, and on the Solidity language.

연구 동기 및 목표

• 스마트 컨트랙트 개발의 보안 보장 체계화가 점점 더 필요해지는 이유는 취약성으로 인한 재정적 및 운영적 위험이 크기 때문이다.
• 개발자들이 소프트웨어 개발 생애주기(SDLC)에 보안 패턴을 통합할 수 있도록 직관적이고 실행 가능한 체크리스트를 제공하기 위함이다.
• 설계, 코딩, 테스트, 배포 단계에서의 최선의 실천 방법을 체계화함으로써 악용 위험을 줄이기 위함이다.
• 재사용 가능하고 맞춤형으로 조정 가능한 도구(스프레드시트 형태로 제공)를 제공하여 프로젝트별 보안 제어를 적용할 수 있도록 하기 위함이다.
• 이론적 보안 연구와 스마트 컨트랙트 개발 현장에서의 실천 간 격차를 메우기 위함이다.

제안 방법

• 저자들은 기존 문헌과 일반적인 취약성에서 유래한 이더리움 및 솔리디티에 관련된 16개의 핵심 보안 패턴을 식별하고 분류한다.
• 체크리스트를 설계(8가지 최선의 실천 방법), 코딩(18가지 최선의 실천 방법), 테스트/배포(6가지 최선의 실천 방법)의 세 단계로 구성한다.
• 각 체크리스트 항목에는 명확한 설명, 관련 표준이나 이전 연구에 대한 참조, 그리고 취약성 또는 우려의 유형을 나타내는 카테고리(예: CEI, MU, GC, OR, REU, TC)가 포함되어 있다.
• 체크리스트는 공개된 스프레드시트(http://tiny.cc/security_checklist) 형태로 구현되어 있어 사용자가 개발 워크플로우에 쉽게 통합하고 맞춤화할 수 있다.
• 이 접근법은 실용성과 도구 중심의 접근을 강조하며, 형식적 검증이나 정적 분석보다는 개발자 사용성에 초점을 맞춘다.
• 저자들은 체크리스트가 이전 연구와 산업 관행에서 유래한 실제 취약성과 패턴에 어떻게 매핑되는지 검증하였다.

실험 결과

연구 질문

• RQ1 이더리움 스마트 컨트랙트 개발 생애주기에 보안 패턴을 어떻게 체계적으로 통합할 수 있는가?
• RQ2 스마트 컨트랙트 설계, 코딩, 테스트 단계의 보안을 향상시키기 위해 어떤 구체적이고 실행 가능한 최선의 실천 방법을 도출하고 정리할 수 있는가?
• RQ3 개발자가 DApp 개발의 다양한 단계에서 보안 패턴을 일관되게 적용하도록 어떻게 지원할 수 있는가?
• RQ4 깊이 있는 형식적 검증 전문 지식이 없어도 스마트 컨트랙트 보안에서 인지 부담과 실수 비율을 줄일 수 있는 실용적인 도구는 무엇인가?
• RQ5 다양한 스마트 컨트랙트 프로젝트에서 재사용 가능하고 맞춤형으로 조정되며 유지보수 가능한 보안 체크리스트는 어떻게 만들어낼 수 있는가?

주요 결과

• 저자들은 이더리움 스마트 컨트랙트에 관련된 16개의 핵심 보안 패턴을 성공적으로 식별하고 체계화하였다. 이는 재진입(reentrancy), 타임스탬프 의존성, 잘못된 접근 제어와 같은 심각한 취약성을 포함한다.
• 설계 단계 체크리스트에는 인터페이스를 직접 주소 대신 사용하고 블록 타임스탬프에 의존하지 않는 것과 같은 8가지 최선의 실천 방법이 포함되어 있어 일반적인 아키텍처 결함을 방지한다.
• 코딩 단계 체크리스트에는 수정자(modifier)의 적절한 사용, 입력 검증, 오버라이드 가능한 내장 기능의 회피와 같은 18가지 실천 방법이 포함되어 있어 논리적 오류 및 접근 제어 버그를 줄인다.
• 테스트 및 배포 단계 체크리스트에는 컴파일러 경고 수정, 특정 컴파일러 버전 锁정, 테스트 네트워크 사용과 같은 6가지 핵심 실천 방법이 포함되어 있어 안정적이고 안전한 배포를 보장한다.
• 체크리스트는 사용자가 프로젝트의 필요에 맞게 맞춤화할 수 있는 가용한 스프레드시트 형태로 제공되어 보안 강도를 유지하면서도 프로젝트에 맞게 조정할 수 있다.
• 연구는 체계적인 체크리스트 기반 접근 방식이 보안 보장 수준을 크게 향상시킨다는 것을 입증한다. 이는 최선의 실천 방법을 생애주기 전반에 걸쳐 접근 가능하고 감사 가능한 방식으로 만들기 때문이다.