Bảo mật và báo lỗi
Trang này trả lời ba câu: báo một lỗ hổng đi đâu, dự án đã được kiểm tới đâu, và những gì bạn nên tự phòng khi dùng bất cứ mạng nào ở giai đoạn thử.
Báo một lỗ hổng
Gửi về địa chỉ công khai của dự án: contact@9chain.com. Đừng công bố chi tiết ra nơi công cộng trước khi lỗ hổng được vá — một lỗ hổng chưa vá được công bố sớm gây hại cho chính những người đang tin vào mạng, chứ không phải cho người viết ra nó.
| Bạn gửi gì | Vì sao cần |
|---|---|
| Mô tả chỗ sai và cách dựng lại | Không dựng lại được thì không vá được, và cũng không kiểm được là đã vá |
| Phạm vi ảnh hưởng bạn ước lượng | Để xếp thứ tự việc — không phải mọi lỗi đều khẩn như nhau |
| Cách liên lạc lại với bạn | Để hỏi thêm, và để ghi nhận công của bạn nếu bạn muốn |
Điều trung thực phải nói kèm: chương trình thưởng lỗi là CÒN TRỐNG — dự án chưa công bố mức thưởng nào, nên đừng báo lỗi với kỳ vọng có tiền. Việc ghi nhận công khai thì làm được ngay, và đó là thứ dự án có thể hứa mà không nói quá.
Đã được kiểm tới đâu
| Loại kiểm | Trạng thái | Đọc thêm |
|---|---|---|
| Tự soát nội bộ và bài nghiệm thu | ĐANG CHẠY | Vận hành và quản trị, mục Kỷ luật vận hành |
| Kiểm định độc lập bởi bên thứ ba | Cổng bắt buộc của nấc Tài sản thật — chưa qua | Tự kiểm mạng, mục Thang trưởng thành |
| Buổi trao khoá thật cho nhiều bên giữ | Cổng chưa qua — cơ chế đã có, buổi trao thì chưa | Vận hành và quản trị, mục Quản trị và ai giữ khoá |
| Phân tán tập ký ra nhiều miền hỏng độc lập | Cổng chưa qua, ngưỡng đếm được | Nền tảng 9Chain, mục Bảo mật và chịu lỗi |
Cách đọc bảng này cho đúng: một dự án nói "chúng tôi rất coi trọng bảo mật" không cho bạn thông tin nào. Một dự án nói "kiểm định độc lập là cổng bắt buộc của nấc bốn, và chúng tôi chưa đứng ở nấc bốn" thì cho bạn một câu kiểm chứng được — và cho bạn quyền hỏi lại vào lần sau.
Hình 31 — Công bố có trách nhiệm: thứ tự quan trọng hơn tốc độ.
Ba điều bạn nên tự phòng ở giai đoạn thử
Đừng coi tài sản trên một kỳ thử là tài sản. Kỳ thử có thể bị dựng lại, và số dư của bản bị bỏ không tự chảy sang bản sau. Lời hứa kế thừa chỉ có hiệu lực từ mạng chính thức.
Đừng tin ai hứa một tỷ lệ quy đổi. Cách nhận LOVE9 là CÒN TRỐNG, và ai nói chắc một tỷ lệ đổi điểm ra token là đang nói thay dự án.
Đừng tin ai chào bán một suất. Sở hữu trong dự án này là một người, một suất, một lá phiếu, không mua thêm được bằng tiền — nên bất kỳ ai chào bán cho bạn một suất nhân danh dự án này đều đang lừa bạn, kể cả khi họ dùng đúng tên và đúng logo.
Câu chốt: một trang bảo mật đáng tin không phải trang khoe đã kiểm những gì, mà là trang nói rõ chưa kiểm những gì — và chỉ ra chỗ bạn tự kiểm lại được.