SKN3X.COM

Upgrade- und Proxy-Rechte tatsächlich prüfen

Vier Fragen, die sich am Chain-Zustand beantworten lassen – und was zu tun ist, wenn eine davon offen bleibt.

Diese Lektion ist fachlich nicht geprüft. Sie wurde für diese Plattform verfasst und gegen die angegebenen Belege geschrieben; eine unabhängige fachliche Durchsicht hat nicht stattgefunden.

Lernziele

  • Sie können die vier Angaben benennen, die eine Upgrade-Prüfung dokumentieren muss.
  • Sie können „nicht ermittelt“ von „kein Admin-Recht“ unterscheiden und beide richtig notieren.

Vorwissen prüfen

Beantworten Sie diese Fragen für sich, bevor Sie weiterlesen. Wo Sie zögern, liegt der Nutzen dieser Lektion.

Kernkonzept

Fakt

Vier Angaben, alle am Chain-Zustand prüfbar

Erstens: Liegt hinter der Adresse ein Proxy, oder ist die Logik fest? Zweitens: Welche Adresse darf sie austauschen? Drittens: Ist diese Adresse ein Multisig, und mit welcher Schwelle? Viertens: Liegt ein Timelock dazwischen, und wie lang ist er? Alle vier stehen im Chain-Zustand und lassen sich ohne Mitwirkung des Protokolls beantworten – anders als fast alles andere in der Sicherheitsprüfung.

Interpretation

Ein Multisig ist eine Zahl, keine Eigenschaft

„Durch ein Multisig gesichert“ sagt für sich nichts. Drei von fünf ist etwas anderes als zwei von drei, und beide sind etwas anderes, wenn die Unterzeichner derselben Organisation angehören. Die belastbare Notiz nennt Schwelle, Anzahl und – soweit ermittelbar – ob die Unterzeichner voneinander unabhängig sind. Ist Letzteres nicht ermittelbar, gehört genau das in die Notiz.

Unsicherheit

Offen ist nicht dasselbe wie unbedenklich

Wer eine der vier Fragen nicht beantworten kann, hat einen Befund, kein fehlendes Kapitel. Die Notiz lautet „nicht ermittelt“, mit Datum und Grund – nicht Weglassen und nicht „keine Admin-Rechte“. Der Unterschied entscheidet später darüber, ob jemand die Prüfung wiederholt oder sich auf eine Abwesenheit verlässt, die nie festgestellt wurde.

Begriffe

Proxy
Ein Vertrag, der Aufrufe an eine austauschbare Logikadresse weiterleitet.
Admin-Adresse
Die Adresse, die berechtigt ist, die Logik hinter einem Proxy auszutauschen.
Schwelle
Die Zahl der Unterschriften, die ein Multisig für eine Transaktion benötigt.

Modell

  1. Adresse, mit der Nutzer interagieren

  2. Proxy – verweist auf eine austauschbare Logik

  3. Admin – darf diesen Verweis ändern

  4. Timelock – liegt er zwischen Admin und Proxy?

  5. Multisig – Schwelle, Anzahl, Unabhängigkeit

Die Kette, die geprüft werden muss – Fehlt Schritt 4 in der Kette, ist die Vorwarnzeit null, gleichgültig welche Frist dokumentiert ist.

Rechenbeispiel

Dieselbe Angabe, zwei Prüftiefen

Aussage des Protokolls
„Upgrades durch Multisig mit Timelock“
Prüfung A
Aussage übernommen
Prüfung B
Proxy bestätigt, Admin = Timelock-Vertrag, dessen Eigentümer = Multisig 4/7, Frist 48 h

Prüfung B stellt zusätzlich fest, dass der Timelock tatsächlich zwischen Multisig und Proxy liegt – und nicht daneben. Genau diese Reihenfolge entscheidet, ob die 48 Stunden für ein Upgrade gelten oder nur für andere Vorgänge.

Dieselbe Aussage, einmal übernommen und einmal belegt.

Lesart: Der Unterschied kostet eine Stunde und ist der einzige Teil der Sicherheitsprüfung, den man ohne Mitwirkung des Protokolls vollständig selbst abschließen kann.

Abruf

Eine Prüfung kann die Admin-Adresse nicht eindeutig bestimmen. Wie notieren Sie das?
Warum genügt „durch ein Multisig gesichert“ nicht als Befund?

Übung an realen Daten

Vergleichen Sie die Leitfragen mit den vier Angaben oben und halten Sie fest, dass diese Plattform dazu kein Feld führt – die Antworten kommen aus dem Chain-Zustand.

Dimension 4: Smart Contracts →

Anwendung

Welche fünf Zeilen dokumentieren eine Upgrade-Prüfung prüffähig?

Passende Fallstudien

Institutionelle Lesart

Bank
Wird die Upgrade-Prüfung nach jedem beobachteten Upgrade wiederholt?
Versicherung
Bezieht sich die Deckung auf die Adresse oder auf den geprüften Code-Stand?

Zum Mitnehmen

Belege