Cymetrics Tech Blog

Solidity 中的隨機性經常應用在抽獎、NFT 生成、GameFi 等等，用來分配獎品或決定遊戲道具的稀有度和外觀等特徵，分散式應用中所使用的隨機性的真實與否會直接影響用戶權益，如果隨機的結果是可以被預測或操縱的，就削弱了分散式應用追求公平的宗旨，在Solidity中產生隨機數時使用可見資訊會導致偽隨機性相關的漏洞。本文將深入探討Solidity中的隨機性問題及其潛在風險，並提供有效的解決方案，幫助開發者保護智能合約免受此類漏洞的影響。

意即「誰可以做這件事」，這在智慧合約的世界中非常重要。合約的存取控制可能會影響哪些角色可以鑄造代幣、對提案進行投票、凍結轉帳以及許多其他關鍵的函數。如何正確的實行權限控制非常重要，方能避免未經授權的行為者進行操作。在 OpenZeppelin 中，主要有兩種方式來實現存取控制：Ownable 和 Role-Based Access Control。Ownable 使合約擁有者掌握控制權，適合較簡單的應用，但當涉及多個角色或權限層級時，RBAC 提供了更精細的控制，讓不同角色執行特定功能。

Solidity 中的 DoS（Denial of Service）是一種常見的漏洞型態，藉由耗盡資源或阻斷合約運作，使得功能無法如預期執行來達成。在區塊鏈的世界中程式碼就是資金流動或是內部邏輯的執行的實現，DoS 在嚴重的情境下，可能會直接導致資產或資金變磚，從而直接導致使用者或協議的損失。在本文將介紹幾種常見的 DoS 情境:Unbounded loopIntegration/Logical errorRefund failed

在當專案經理的這些時間裡，除了透過專案進行觀察到一些台灣企業對「資安」的看法與痛點之外，近期也有不少「政府採購預算需單獨編列資安費 」的新聞出現，內容重點大致分為三個：資安預算「獨立」、禁用陸資廠牌產品、陸資廠商不能參與標案，同時，政府也針對以往資安廠商投標的困境，做了制度上的改善，像是採用最有利標時不訂底價，及「創意」取代「回饋」項目，作為評選廠商的區隔。從這些政府的改變當中，不難看出資訊安全在台灣的重視程度是愈來愈高了。

想了解開發 OpenAI 會遇到哪一些坑嗎？想了解如何解鎖 Embeddings 和 Retrieval-Augmented Generation 讓 GPT 的模型就算沒有企業獨有的 knowhow，也能產生出有意義的內容嗎？那就快點手刀點進來吧，讓您滿載而歸！

很高興 2023 年 5 月可以在 CYBERSEC 2023 臺灣資安大會 分享一些平常在關注或是有趣的東西。紅藍對抗隨時都在發生，紅隊利用新穎的漏洞與手法進行攻擊，藍隊可以使用各種機制與防護中斷攻擊。本篇將介紹一些好用的技巧與工具。

內容分發網絡 (CDN) 是現代網際網路占比相當重要的一個部分，它為全世界的使用者提供快速可靠的連結與與網路資源。但是，儘管 CDN 提供了許多好處，它們也會引入許多人可能不知道的新的安全風險。本文中將探討 CDN 的隱藏危險，並探討為什麼 CDN 可能不像你想像的那麼安全。透過簡單介紹 CDN 可能引入的各種漏洞，探討如何保護自己和您的企業免受這些威脅。本文可幫助您更好地了解 CDN 所涉及的潛在風險及其如何緩解這些風險。

2021 年 10 月 27 日，借貸協議 Cream fiancne 遭到閃電貸攻擊，損失高達 1.3 億美金。