Alpenglow bug bounty mokestis 0,5 SOL už pranešimą

„Anza“ saugos tyrėjams ima negrąžinamą 0,5 SOL už kiekvieną Alpenglow radinį prieš varžybų pabaigą rugpjūčio 19 d. 16 val. UTC.

Taisyklėse reikalaujama, kad kiekvienas radinys būtų pateiktas per tam skirtą portalą, kuriame sumokamas mokestis ir sukuriamas vienas konfidencialus „GitHub“ saugos patarimas. Kitu kanalu išsiųstos ataskaitos yra netinkamos.

Tikslas yra pasekmingas. SIMD-0326 siūlo Alpenglow kaip atgal nesuderinamą Solana dabartinio Proof-of-History ir TowerBFT konsensuso protokolo pakaitalą. „Anza“ įtraukė naujus konsensuso komponentus, jų patvirtinimo integravimą ir perėjimo kelią į laikiną „Bounty“ taikymo sritį.

Tyrėjai sumoka padavimo išlaidas prieš Anza nustatant galiojimą, sunkumą, dubliavimą ar atlygį. Jie taip pat veikia prieš judančią Agave meistro versiją. Kiekvienoje ataskaitoje turi būti nurodytas įsilaužimas, kuriame atsirado klaida, ten turi būti atkurta problema ir ji turi būti gauta, kol klaida lieka nepataisyta pagrindiniame kompiuteryje.

Koncepcijos įrodymo reikalavimas ir įrašų įrašymas gali sumažinti rezervuotos vietos pateikimo skaičių. Jie taip pat gali įvertinti pagrįstą išvadą, kurios poveikis ar prioritetas yra neaiškūs. Paskelbtose taisyklėse nėra jokio dalyvavimo ar ataskaitos kokybės vertinimo, kuris išspręstų kompromisą.

Mokslininkai sumoka prieš nustatydami tinkamumą

Konkurso apžvalgoje teigiama, kad „Alpenglow“ nebuvo įtrauktas į „Agave“ nuolatinę premiją kūrimo, monorepo perkėlimo ir vidaus audito etapuose. Dviejų savaičių konkurse atidaromas surašytas Alpenglow kodo rinkinys, apimantis „Votor“ balsavimo variklį, balsavimo ir sertifikato pranešimus, BLS parašo ir sertifikato patvirtinimą, „TowerBFT“ perkėlimo kelią ir nurodytus tikrintojo integravimo paviršius.

Liko kelios ribos. Viešai ar anksčiau atskleistos problemos neatitinka reikalavimų. Taip pat neįtraukiamos žinomos problemos, bandomasis kodas, trečiųjų šalių kriptografijos priklausomybės ir įprasti tik „TowerBFT“ keliai. Tyrėjai turi pademonstruoti išvadas naudodami vietinę šakę, kelių mazgų diržus arba modeliavimą; „mainnet“ ir „public-testnet“ atakos yra neteisėtos.

Pirmenybė priklauso nuo įrodymų, o ne vien nuo laiko žymos. Anksčiausia ataskaita, atitinkanti koncepcijos įrodymo juostą pagal Anza įvertintą sunkumą, gauna apdovanojimą už šią pagrindinę priežastį. Vietos rezervavimo ženklas nieko nerezervuoja. Vėlesni pasikartojantys asmenys nieko negauna, nebent būtų pagrįstas griežtai didesnis įvertintas sunkumas.

Tinkamumas baigiasi, kai taisymas pasiekia Agave meistrą. Todėl konkurso metu ataskaita gali prarasti galimybę sumokėti, net jei tyrėjas atkuria trūkumą prieš ankstesnį įsipareigojimą.

Pagal Alpenglow taisykles reklamuojamas 50 000 SOL yra didžiausias bendras telkinys, kurį atrakina tik didžiausias sunkumas:

Aukščiausias galiojantis atradimas	Atrakintas baseinas
DoS arba kita	10 000 SOL
Gyvumas arba prieinamumo praradimas	20 000 SOL
Sutarimas arba saugumo pažeidimas	30 000 SOL
Lėšų praradimas	50 000 SOL

Atskiriems apdovanojimams naudojami mažesni diapazonai. Lėšų praradimo išvados gauna nuo 6 250 iki 25 000 SOL, konsensuso ar saugos pažeidimai nuo 3 125 iki 12 500 SOL, gyvumo išvados nuo 1 250 iki 5 000 SOL, o DoS išvados – nuo 315 iki 1 250 SOL.

Anza sumažina apdovanojimus proporcingai, jei bendri apdovanojimai viršija atrakinamą fondą. Dėl mažiau ar mažesnių radinių dalis baseino gali likti neapmokėta. Netgi praradus lėšas, biudžetas atsilaisvina nepakeliant nė vieno apdovanojimo, viršijančio 25 000 SOL.

Mokėjimas atliekamas po rugsėjo 2 d. teismo sprendimo ir KYC. Apdovanojimai yra vienkartinės SOL sumos, užblokuotos 12 mėnesių pagal galiojančias Agave premijos sąlygas. Degimas yra nedelsiant; kompensacija priklauso nuo vėlesnio sprendimo ir išlieka nelikvidi metus.

Alpenglow dovana apima konsensuso migraciją

Alpenglow Votor komponentai naudoja BLS pagrįstą balsų ir sertifikatų kaupimą ir patikrinimą. Notaro patvirtinimo, praleidimo, užbaigimo ir notaro patvirtinimo sertifikatams reikia 60 proc. akcijų, o norint greitai užbaigti – 80 proc. Pradiniame projekte „Turbine“ saugoma duomenų platinimui.

Pasiūlyme apibrėžiamas 20+20 saugumo modelis su 40 % atsparumo gedimams. Jame diegimo rizika įvardijama kaip pagrindinis trūkumas, migracija vadinama sudėtinga ir teigiama, kad naujoji balsavimo logika nesuderinama su pirmtake.

„Anza“ įtraukė ir pagrindines konsensuso dėžutes, ir patvirtinimo kodą, kuris apdoroja sertifikatus, apdovanojimus ir užbaigimo būseną. „TowerBFT“ perdavimas taip pat yra tinkamas, todėl senos ir naujos logikos jungtys peržiūrimos kartu su pačiu „Votor“.

Oficialiose taisyklėse ir apžvalgoje rugpjūčio 19 d. vis dar nurodyta kaip ribinė data, kai buvo patikrinta rugpjūčio 18 d., nė viename puslapyje nebuvo pranešimo apie pratęsimą. Pateikimo lango uždarymas nesuaktyvina Alpenglow ir neužbaigia perkėlimo.

Konfidencialumas taip pat atskiria terminą nuo bet kokio viešo rezultato. Radinys lieka privatus, kol bus pataisytas. Kodas, laukiantis pagrindinio tinklo aktyvinimo, gali likti embargas, kol pataisa bus sujungta ir suaktyvinamas atitinkamas funkcijų užtvaras.

Tuščias viešas įrašas po rugpjūčio 19 d. nieko neatskleis apie perspėjimų skaičių. Prieš priimant sprendimą, atskleista ekonomika pasakoja istoriją: 0,5 SOL pirmiausia palieka tyrėjo piniginę, įrodymai lemia prioritetą, o tik pagrįstas lėšų praradimo trūkumas atveria visą fondą.