ワールドコインのOrbソフトウェア、プライバシーとセキュリティの監査に合格

PANewsによると、サム・アルトマンが共同設立した暗号通貨プロジェクトWorldcoinは、公式ブログで「Orbプライバシーとセキュリティ監査報告書」を発表した。監査はセキュリティ専門家のTrail of Bitsによって行われ、Orbに関連する一連のプライバシーと機能性に関する記述に焦点を当て、通常のセキュリティ評価を超えてソフトウェアを評価した。評価は、2023年7月8日にSemVer 3.0.10として凍結されたソフトウェアのバージョンについて、2023年8月14日に開始された。2024年3月14日現在、Orbに配備されている現在のソフトウェアバージョンは4.0.34で、2024年1月17日に初めてリリースされた。 監査結果は、デフォルトのオプトアウト登録プロセスにおけるソフトウェア構成が、「虹彩コード」以外の個人を特定できる情報（PII）を漏洩しないことを示した。また、セキュリティ強化のため、設定をさらに強化するよう勧告した。デフォルト以外のオプトイン登録プロセスでは、PIIは非対称的に暗号化されてOrbのSSDに保存され、暗号化メカニズムによってOrbが復号化することはできない。監査人は、プロジェクトの目的を害するような既知の脆弱性や実行プロセスを発見しなかった。さらに、最新のコードでは、ユーザーがデータホスティングを選択したかどうかにかかわらず、データを保存することはなくなった。監査人は、Orbが登録プロセス中にユーザー機器から追加データを抽出せず、ユーザーから提供されたQRコード情報のみを処理することを確認した。また、QRコードをスキャンする図書館における潜在的なメモリ安全性の問題を指摘し、セキュリティ強化のための代替措置を講じている。さらに、ユーザーの虹彩コードは安全に処理され、Orbの永続ストレージには保存されない。また、虹彩コードは安全に処理され、Orbの永続ストレージには保存されない。虹彩コードは1回のリクエストでバックエンドに送信されるだけであり、「セキュリティを強化するためにこの構成を改善することは可能だが（TOB-ORB-10）、典型的な攻撃者がOrbのネットワーク・トラフィックから虹彩コードを抽出することはできないはずである。