Vừa lật lại các bản ghi cấp quyền, phát hiện vài giao thức rất “cổ” vẫn còn treo quyền hạn vô thời hạn, mình giật mình luôn. Vội vàng thu hồi lần lượt… Sau đó mới biết có vài dự án đã ngừng cập nhật được tới 2 năm rồi, đúng là quá rùng mình.

Dạo gần đây mình xem thảo luận trong cộng đồng về ranh giới tuân thủ đối với coin ẩn danh và dịch vụ trộn, thì rủi ro từ việc cấp quyền hợp đồng cũng tương tự—niềm tin là thứ còn sống, nhưng quyền hạn thì lại là thứ “cố định”. Nhóm mà bạn từng tin tưởng có thể giữa chừng thay người, hoặc giao thức bị tấn công, nhưng khoản ủy quyền vô hạn trên ví vẫn luôn bật, như một cánh cửa sổ không bao giờ đóng—nguy hiểm thế nào bạn cũng hiểu.

Dù sao thì hiện tại mình cá nhân có thói quen: sau mỗi lần tương tác xong, tiện tay kiểm tra các quyền được cấp, cái nào nên thu hồi thì thu hồi. Nếu dự án đã dừng cập nhật quá 6 tháng, thì thu hồi toàn bộ luôn.
Trước khi ngủ dành 2 phút bấm bấm xem lại, thật ra thực tế hơn là ngày nào cũng nghiên cứu giao thức mới.

Nói thẳng ra thì chuyện an toàn chính là đừng lười.