“Auditado” aparece en las p\u00e1ginas de aterrizaje como si fuera una certificaci\u00f3n con un significado definido. No lo es. Es un servicio profesional de alcance variable, y la diferencia entre una revisi\u00f3n exhaustiva y una superficial es invisible desde el distintivo.<\/p>\n
Se contrata a una firma para revisar un conjunto determinado de contratos, en un commit determinado, durante un periodo determinado, buscando defectos frente a un modelo de amenazas determinado. Producen un informe que enumera los hallazgos por gravedad, el proyecto responde, y un informe final suele recoger qu\u00e9 se corrigi\u00f3.<\/p>\n
Cada “determinado” de ese p\u00e1rrafo cumple una funci\u00f3n. El alcance se negocia, y un informe sobre tres contratos no dice nada del cuarto, que es el que guarda los fondos.<\/p>\n
El alcance indica qu\u00e9 archivos se revisaron y en qu\u00e9 hash de commit. De ah\u00ed surgen dos preguntas, y ambas se responden en pocos minutos.<\/p>\n
\u00bfIncluye el alcance los contratos que realmente guardan o mueven valor, o solo los perif\u00e9ricos? \u00bfY coincide el commit revisado con lo que est\u00e1 desplegado? El c\u00f3digo cambia despu\u00e9s de una auditor\u00eda, y un informe sobre un commit anterior a varias actualizaciones describe un software que ya no existe. Verificar el bytecode desplegado frente al c\u00f3digo fuente auditado es la comprobaci\u00f3n que cierra esta brecha, y casi nadie que se fija en el distintivo la hace.<\/p>\n
Los informes clasifican los hallazgos por gravedad. Lo que importa m\u00e1s que el recuento es la resoluci\u00f3n: corregido, reconocido o disputado.<\/p>\n
“Reconocido” significa que el proyecto ley\u00f3 el hallazgo y decidi\u00f3 no cambiar nada. Eso puede ser perfectamente razonable \u2014el hallazgo puede describir una concesi\u00f3n aceptada\u2014, pero significa que hay un problema conocido activo, y no aparecer\u00e1 en un resumen que solo menciona el distintivo.<\/p>\n
Un informe sin ning\u00fan hallazgo no es un triunfo. Normalmente significa un alcance estrecho o una revisi\u00f3n superficial. Las revisiones competentes de sistemas no triviales encuentran cosas.<\/p>\n
Ciertas categor\u00edas son dif\u00edciles de detectar revisando c\u00f3digo:<\/p>\n
Ese \u00faltimo punto merece \u00e9nfasis. Si un contrato se puede actualizar, la auditor\u00eda describe la implementaci\u00f3n actual, y quienes tienen las claves de actualizaci\u00f3n pueden reemplazarla. Lo que importa entonces es qui\u00e9nes son esos titulares y qu\u00e9 proceso los rige \u2014una cuesti\u00f3n de gobernanza disfrazada de distintivo t\u00e9cnico.<\/p>\n
Publicado \u00edntegro, no resumido. Alcance indicado con hashes de commit. Hallazgos con gravedad, descripci\u00f3n y resoluci\u00f3n. Un apartado de metodolog\u00eda que describe qu\u00e9 se examin\u00f3 y qu\u00e9 no. Y una fecha, para poder compararlo con el historial de despliegues.<\/p>\n
Un proyecto que publica todo eso est\u00e1 haciendo algo claramente distinto de uno que solo muestra un logotipo. El logotipo es la parte que menos cuesta.<\/p>\n
Trata una auditor\u00eda como prueba de que un proyecto gast\u00f3 dinero en escrutinio y estuvo dispuesto a publicar el resultado, lo cual es una se\u00f1al real sobre c\u00f3mo opera. No la trates como una garant\u00eda de seguridad, porque el informe no pretende serlo \u2014el descargo de responsabilidad que incluye suele decirlo expl\u00edcitamente, en el apartado que nadie cita.<\/p>\n
Las preguntas pr\u00e1cticas siguen ah\u00ed: qu\u00e9 proporci\u00f3n de tus tenencias est\u00e1 expuesta a este contrato, si podr\u00edas tolerar perderla, y si el rendimiento ofrecido compensa razonablemente ese riesgo. Nada de eso cambia por la existencia de un informe, y por eso precisamente se usa el distintivo como se usa.<\/p>\n
“Auditor\u00eda” abarca un abanico de actividades con costes y rigor muy distintos, y el informe no siempre deja clara la diferencia.<\/p>\n
Una revisi\u00f3n manual por ingenieros experimentados que leen el c\u00f3digo es el extremo caro. El an\u00e1lisis automatizado detecta patrones conocidos de forma barata y se le escapa cualquier cosa novedosa. La verificaci\u00f3n formal demuestra matem\u00e1ticamente que el c\u00f3digo cumple una especificaci\u00f3n, lo cual es potente y solo tan bueno como la especificaci\u00f3n en s\u00ed. Las plataformas de auditor\u00eda competitiva externalizan la revisi\u00f3n a la multitud, lo que encuentra una gran variedad de problemas pero produce una cobertura menos uniforme.<\/p>\n
Cada una tiene su funci\u00f3n. Lo que importa es saber cu\u00e1l tienes delante, y el apartado de metodolog\u00eda lo indica. Un informe que no describe su m\u00e9todo est\u00e1 pidiendo que se le crea por la fuerza del logotipo.<\/p>\n
Una auditor\u00eda es una fotograf\u00eda; un programa de recompensas es continuo. Un proyecto que mantiene una recompensa sustancial y bien delimitada, con un historial de pagos p\u00fablico, est\u00e1 sometido a un escrutinio permanente que una revisi\u00f3n puntual no ofrece.<\/p>\n
El importe importa. Un pago m\u00e1ximo muy por debajo de lo que rendir\u00eda un exploit no es un incentivo, es un gesto: un investigador que encuentra un fallo cr\u00edtico en un contrato que guarda una suma grande se enfrenta a un problema aritm\u00e9tico obvio si la recompensa es insignificante en comparaci\u00f3n. Las recompensas proporcionales al valor en riesgo son una se\u00f1al genuina de cu\u00e1n en serio se toma un proyecto la posibilidad de estar equivocado.<\/p>\n
Los contratos que han guardado un valor significativo durante un periodo largo sin incidentes han sido sometidos a la revisi\u00f3n m\u00e1s rigurosa disponible: la atenci\u00f3n sostenida de personas con un incentivo econ\u00f3mico para romperlos.<\/p>\n
Esto no es una prueba definitiva \u2014existen fallos latentes, y varios protocolos longevos han fallado tarde. Pero un contrato desplegado hace poco, con un informe y sin historial operativo, solo ha sido revisado por una firma durante unas semanas. Uno m\u00e1s antiguo con el mismo informe ha sobrevivido adem\u00e1s a\u00f1os de inter\u00e9s adversario, y eso es un tipo de prueba distinto.<\/p>\n
Combinar ambas cosas es el enfoque pr\u00e1ctico: lee el informe para saber qu\u00e9 se examin\u00f3, y valora el historial de despliegue para lo que el informe no pudo cubrir.<\/p>\n","protected":false},"excerpt":{"rendered":"
“Auditado” se usa como sin\u00f3nimo de seguro. Una auditor\u00eda es una revisi\u00f3n acotada en el tiempo de un c\u00f3digo concreto frente a preocupaciones concretas, y su apartado de alcance es la parte que merece la pena leer.<\/p>\n","protected":false},"author":3,"featured_media":697,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[48],"tags":[],"class_list":["post-330","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-defi-y-web3"],"_links":{"self":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts\/330","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/comments?post=330"}],"version-history":[{"count":0,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts\/330\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/media\/697"}],"wp:attachment":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/media?parent=330"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/categories?post=330"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/tags?post=330"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}