Evaluando la privacidad en los proyectos de Web3 "Guía para analizar la privacidad en Web3"
Playbook / Manual para el análisis de la privacidad en Web3
Modelo de Calificación de los Servicios de Protección de la Privacidad para No Técnicos (Playbook)
Por Web3PrivacyNow | Noviembre 07, 2023
La comunidad de Web3Privacy Now propone utilizar este sencillo y práctico manual para los no técnicos. Ayuda a:
- realizar verificaciones si los proyectos que reclaman características de privacidad son legítimos
- filtrar los servicios de alto riesgo
- aumentar la base de conocimientos sobre web3, privacidad y seguridad.
Por favor, revisa nuestro enfoque de puntuación a continuación. Intentamos hacerlo lo más simple posible, para que las personas no técnicas lo entiendan con facilidad.
Parte 1: Privado o no privado: esa es la pregunta
Estas acciones simples ayudan a los no técnicos a hacer una prueba rápida si el proyecto está vivo, de código abierto y abierto para una auditoría de terceros.
Github
GitHub es un sitio web y un servicio basado en la nube que ayuda a los desarrolladores a almacenar y gestionar su código, así como a rastrear y controlar los cambios de su código.
Plan de acción
- Visite el sitio web oficial.
- Encontrar un enlace a una página de Github
- Siga el enlace
- Comprobar si está "vivo": ¿cuándo fueron las últimas actualizaciones?
Cómo calificar
- Disponibilidad
- a. Disponible (+),
- b. Perdido (-)
- Actividad:
- a. Activa (+): hay una actividad en los últimos 6 meses.
- b. No (-): La cuenta de GitHub está en silencio.
fuera de la puntuación, pero agradable para comprobar: mensual # de actividad (consistencia general): si el proyecto se actualiza bimensualmente, quincenalmente o una vez en un tiempo (1 en 3 meses, por ejemplo).
Ejemplo
Aquí el protocolo tiene una cuenta en GitHub, pero solo se despliega una página de destino. Faltan la arquitectura de soluciones, los contratos inteligentes y la base de código. Tenga en cuenta también la fecha de la última actualización.
Docs
Una documentación completa garantiza que las personas puedan aprovechar eficazmente las capacidades del proyecto, solucionar problemas y encontrar respuestas a sus preguntas.
La documentación es la base para la colaboración dentro de la comunidad de código abierto.
Plan de acción
- Ir al sitio web oficial.
- Encontrar el enlace a una página de documentos
- Siga el enlace
- Analizar la información disponible
Cómo calificar
- Disponibilidad:
- a. Disponible (+)
b. Perdido (-) - De código abierto
- a. Técnico (+): escrito para especialistas técnicos
b. Marketing (-): usa el lenguaje de marketing, carece de especificaciones tecnicas, mucha narrativa de tokens. - Plenitud (número de páginas)
- a. Más de 5 páginas (+)
b. 2-3 páginas (-)
https://shadecash.gitbook.io/shadecash/token/token-and-distributionLo mismo funciona para explicadores visuales sin esquemas técnicos, infografías y revisión de la base de código.
✅ Documentación centrada en el desarrollo: Webb
Auditoría de terceros
Las auditorías de seguridad realizadas por organismos o personas competentes garantizan el nivel de los elementos de seguridad del proyecto. Normalmente, significa errores críticos, centralización o simplemente fallos de código mal escritos.
La evaluación de seguridad por parte de terceros normalmente reduce los riesgos asociados con el uso del proyecto. Las empresas ponen en juego su reputación al afirmar que el proyecto: a) tiene vulnerabilidades; y b) está asegurado.
Nota: no es una bala de plata, porque los errores ocurren o el proyecto podría auditar una pequeña característica, pero es un método higiénico perfecto para los servicios de privacidad.
Plan de acción
- Ir al sitio web oficial.
- Encontrar el enlace a una auditoría de terceros (si no en el sitio web - consulte el blog oficial)
- Siga el enlace
- Comprobar su fecha real
Cómo calificar
- Disponibilidad
- a. Disponible (+): archivo PDF separado o aterrizaje; disponible para leer/descargar.
b. Perdido (-): auditoría no disponble. - Relevancia
- a. Actualizado (+): auditado en el último año.
b. Perdido (-): última auditoría - 1 año+
https://docs.definer.org/v/copy-of-definer.org/security/audits✅ Auditoría actualizada: Railgun_
Equipo
La reputación es un marcador de confianza. El equipo público claramente "pone" su reputación frente a cualquier posible desafío de privacidad. Mientras que un equipo podría ser utilizado como un truco para evitar la responsabilidad sobre la ejecución de las características de privacidad pobres.
La ingeniería anónima podría ser un fenómeno de masas en el futuro. Pero ahora educar sobre deliberadamente ausente equipo en la página web y los contribuyentes ocultos GitHub vs "gato avatar desarrollador hardcore con toneladas de commits públicos" debería estar bien articulado.
Especialmente, cuando hay espacio para la reputación de anon o sudo-anon: investigación pública, ensayos, documentación bien escrita y así sucesivamente.
Plan de acción
- Ir al sitio web oficial.
- Encontrar el enlace a una página del equipo
- Explorar perfiles de equipo en Twitter, en el Telegram oficial o en Discord
- Comprobar si son públicos y activos
Cómo calificar
- Público (+): el equipo es público, con redes sociales activas y/o cuentas de GitHub (nota: los avatares digitales están bien si las personas están contribuyendo activamente al proyecto y se comunican activamente en las redes sociales: ejemplo dcbuilder)
- Anon (-): nombres raros, no/ó avatares oscuros, sin redes sociales o enlaces de GitHub
Preparación del producto
Se refiere a la fase de desarrollo del producto, desde los prototipos (primeras fases) hasta la red principal (al aire). Se correlaciona directamente con la madurez de la privacidad y la responsabilidad del equipo principal.
Se espera que el producto lanzado sea muy estable, relativamente libre de errores y listo para su uso.
Las dApps & protocolos tienen diferentes versiones de sus productos:
dApps: pre-maduro: MVP & beta; maduro - protocolos alfa: pre-maduro: testnet, maduro: mainnet
Plan de acción
- Sitio web de lanzamiento del proyecto - trata de encontrar el estado del producto: descripción explícita
- Si el sitio web no proporciona información - utiliza Duduckgo o Brave buscando: "nombre del proyecto + mainnet". Analizar los resultados de la búsqueda y sus pruebas.
- Una fuente adicional de verdad: Twitter oficial o blog
Cómo calificar
live (+): mainnet explícito para protocolos o beta/alpha para comunicación de dApps con características adicionales de privacidad nivel de madurez (basado en ciclos de pruebas anteriores).
test-net o prototipo (-): falta la descripción explícita "mainnet" para los protocolos, o la última versión del producto para dApps; comunicación explícita "testnet" o MVP/prototipo, disponibilidad del producto.
https://shadeprotocol.io/blog/shadeswap-live-on-mainnet"En construcción" (el proyecto no está lanzado) es el factor de exclusión más importante para un servicio no privado.
https://app.xata.fi/#/swapBuena ética de privacidad: el proyecto destaca la versión inicial y notifica que el uso de este proyecto podría ser arriesgado.
Resumen
Este modelo de calificación es la primera versión de su tipo. Si utilizas estos chequeos simples - que potenciarán tu experiencia de privacidad. Pero recuerda que la evaluación compleja y la atención al detalle aseguran que no serás engañado/a por falsas promesas de privacidad.
Parte 2: Sunset
"Sunset" significa que el proyecto ha sido cerrado por varias razones: desafíos financieros, entorno regulatorio o modelo de negocio débil. Aquí significa que el equipo del proyecto no puede hacer copias de seguridad de las características de privacidad, por lo que es un alto riesgo para usarlo.
La fecha de expiración (Sunsetting) podría ser
- consciente: cuando el proyecto informa de antemano sobre las operaciones terminadas: ejemplo Aztec Connect
- oculto: cuando de repente un sitio web no funciona, el soporte técnico es silencioso, las redes sociales están abandonadas.
http://coinbook.app✅ XATA informó a la gente que terminarán de apoyar los productos "swap" y también proporcionó una línea de apoyo para responder a todas las preguntas adicionales.
https://app.xata.fi/#/swap¿Cómo se puede detectar un Sunset "oculto"?
- Comprobar las redes sociales: ¿cuándo fueron las últimas actualizaciones?
- Comprobar soporte (Discord, TG): ¿está activo el equipo central?
La falta de actualizaciones, noticias y el apoyo del equipo generalmente indicaban que el proyecto está "en espera" - inclinándose hacia el atardecer. Por lo general, una pausa pública de 3 a 6 meses debería ser una "bandera roja" para todos los que planean usar tales proyectos centrados en la privacidad.
Apéndice
Playbook está basado en el test de categoría DeFi realizado por el equipo Web3Privacy Now.
Este proyecto es parte de la plataforma "l2beat for privacy": una descripción está disponible aquí.
¿Tienes alguna pregunta adicional? Conecta con nosotros en X: aquí.
Artículo original en inglés: https://mirror.xyz/0x0f1F3DAf416B74DB3DE55Eb4D7513a80F4841073/90XEXa7AG_qc-VgYKs40i88xB1HF97gr1zqb-qvnif0