Aralık 2024 sonu ile Ocak 2025 sonu arasında SSP, Web3 yığınındaki projeler için güvenlik incelemeleri yapan firma olan Halborn ile üç bağımsız güvenlik denetiminden geçti. İncelemeler SSP'nin üç sütununu kapsadı — wallet ve key uygulamaları, ERC-4337 multisig'in arkasındaki smart kontratlar, ve diğer geliştiricilerin entegre olabileceği SDK. Üç raporun da tamamı kamuya açıktır.
Bu yazı kısa bir özettir: kapsama ne girdi, her denetim hangi tarihlerde sürdü, Halborn ne buldu ve raporları kendi başınıza nereden okuyabilirsiniz.
Özet
- Aynı pencerede üç denetim (23 Aralık 2024 – 22 Ocak 2025).
- Kapsam: SSP Wallet tarayıcı eklentisi ve SSP Key mobil uygulaması, ikisi arasında iletişimi sağlayan relay sunucusu, Ethereum üzerindeki ERC-4337 + Schnorr smart kontratları, ve halka açık SDK.
- Bulgular: kritik veya yüksek seviyeli sorun yok. Az sayıda düşük seviyeli ve bilgilendirici bulgu — çoğu kullanılmayan veya ölü kod yollarında — hepsi giderildi.
- Raporlar kamuya açık, Halborn'un sitesinde ve SSP repolarında yansıtılmış halde.
Üç denetim, tek pencere
Denetimler arka arkaya değil paralel yürütüldü; bu, SSP boyutundaki bir proje için sıradışıdır. Sebep yapısaldır: Halborn'un incelediği üç bileşen sürekli birbiriyle konuşur ve her birinin threat model'i diğer ikisinden belirli garantiler bekler. Onları aynı pencerede denetlemek, Halborn'a gerçek bir SSP işleminin tarayıcıdan, relay üzerinden, smart kontrata ve geri nasıl aktığına dair tek seferde bir kesit yerine eksiksiz bir görüntü sundu.
1. SSP Wallet, SSP Key ve SSP Relay
Tarihler: 30 Aralık 2024 – 22 Ocak 2025 Kamuya açık rapor: halborn.com — SSP Wallet, Relay & Key
Bu en geniş çalışmaydı. Halborn şunlara baktı:
- Tarayıcı eklentisi istemcisi (anahtar üretimi, durağan halde şifreleme, imzalama akışları).
- İkinci anahtarı SSP'nin 2/2 multisig kurulumunda tutan mobil yardımcı uygulama (Android ve iOS).
- İkisi arasında mesajlara aracılık eden relay sunucusu — protokol şekli ve kötü niyetli ya da bozuk biçimli trafik karşısında nasıl dayandığı dahil.
- Uçtan uca kullanılan kriptografik temel yapılar: seed'lerin nasıl üretildiği, AES-GCM'nin nasıl uygulandığı, imzaların nasıl üretilip doğrulandığı.
- Üzerine katmanlanan 2FA mekanizmaları.
SSP'yi kullandıysanız, doğrudan dokunduğunuz neredeyse her şey bu denetimin kapsamı içindedir.
2. Smart kontratlar: ERC-4337 + Schnorr
Tarihler: 23 Aralık 2024 – 3 Ocak 2025 Kamuya açık rapor: halborn.com — Account Abstraction Schnorr MultiSig
SSP'nin on-chain tarafı — Ethereum ve EVM uyumlu zincirlerdeki account abstraction uygulaması — farklı bir threat model'e sahip ayrı bir kod tabanıdır. Smart kontrat hataları affedicisizdir: bir kontrat dağıtıldığında ve değer tutmaya başladığında onu sessizce yamayamazsınız.
Halborn'un buradaki kapsamı:
- ERC-4337 EntryPoint entegrasyonu ve SSP'ye özgü account contract'lar.
- Schnorr imza toplaması ve on-chain doğrulama.
- Erişim kontrolü, ownership ve upgrade prosedürleri.
- Gas optimizasyon desenleri (herhangi bir optimizasyonun footgun açıp açmadığı dahil).
- Kontratların yaptığı her dış çağrı.
3. SDK
Tarihler: 2 Ocak – 14 Ocak 2025 Kamuya açık rapor: halborn.com — Schnorr Signatures SDK
Üçüncü taraflar SSP'yi yalnızca cüzdan UI'si üzerinden tüketmez — temel account abstraction yapı taşlarını doğrudan SDK üzerinden de entegre edebilirler. Bu da SDK'yı sertleştirilecek ayrı bir yüzey haline getirir: shipped olan her özensiz default, onu import eden herkesin sorunu olur.
Halborn API ergonomisine güvenlik açısından, input doğrulamasına, güvenli loglama pratiklerine ve SDK belgelerinin entegratörleri yaygın tuzaklara değil güvenli kullanım desenlerine yönlendirip yönlendirmediğine baktı.
Halborn ne buldu
Üç denetim birleştirildiğinde manşet rakam sıfır kritik ve sıfır yüksek seviyeli bulgu'dur. Raporlar düşük seviyeli ve bilgilendirici küçük bir öğe seti içeriyor — çoğu zaten kaldırılması planlanan kullanılmayan dallar veya ölü kod yollarında. İşaretlenen her öğe, raporlar yayınlanmadan önce giderildi.
Bu son cümle önemlidir. "Denetlenmiş" tek başına, bulgular giderilmeden duruyorsa zayıf bir iddiadır. Bugün kurabileceğiniz SSP sürümü, denetim sonrası düzeltmeleri içeren sürümdür.
Bu sizin için ne anlama geliyor
Temiz bir denetim bir an'lık görüntüdür, sonsuza dek geçerli bir vaat değil. Yeni kod iner, bağımlılıklar değişir, threat modeller evrilir. Ama 2025 incelemeleri size daha önce sahip olmadığınız üç şey verir:
- Kriptografinin bağımsız doğrulaması. SSP'nin güvenlik iddiası, her anahtar ayrı bir cihazda olan gerçek 2/2 multisig'e dayanır. Halborn anahtarların nasıl üretildiğine, nasıl saklandığına ve imzalara nasıl birleştirildiğine baktı. Protokol, iddia ile örtüşür.
- Kamuya açık bir threat model. Raporlar yalnızca neyin bulunduğunu değil, neyin test edildiğini de tarif eder. SSP'yi self-custody için değerlendiriyorsanız, Halborn'un üzerinde çalıştığı kapsam belgelerinin aynısını okuyabilirsiniz.
- Bir bakım çıtası. Gelecekteki SSP sürümleri, denetim sonrası taban çizgisine göre ölçülecek. Bir şey gerilerse, diff görünür olur.
Kendiniz nasıl doğrularsınız
Bu yazıyı hiçbir şey için kelimesi kelimesine kabul etmek zorunda değilsiniz. Tam PDF'ler yukarıda Halborn'un sitesine bağlandı ve SSP ekibi bunları proje belgeleri reposunda yansıtıyor — denetim özet dizini dahil ssp-docs. Her PDF metodolojiyi, tam bulgu listesini, ciddiyet derecelendirmelerini ve giderme durumunu içerir. Güvenlik mühendisi okuyucu için yazılmışlardır ama erişilebilirler.
Denetimden önce protokolün kendisinden başlamayı tercih ediyorsanız, 2/2 multisig'e giriş doğru başlangıç noktasıdır.