Исследователи Brave описали структурные риски в механизме авторизации zkLogin на Sui

Исследователь безопасности Brave София Сели и соавторы проанализировали систему авторизации zkLogin в экосистеме Sui, предупредив, что её свойства безопасности, конфиденциальности и доверия опираются на предположения, не закреплённые протоколом, в статье и посте блога. Они выделяют три класса уязвимостей: некорректный разбор JWT, слабые привязки между аутентификацией и авторизацией, а также зависимость от централизованных провайдеров идентичности и сервисов построения доказательств. По их словам, проблемы обусловлены архитектурными решениями, а среди мер — более строгая валидация токенов, усиление связей между эмитентами и пользователями и улучшение информированного согласия при пересылке токенов внешним сервисам.