Rustスマートコントラクト安全：関数の可視性と権限管理のベストプラクティス

RugResistant

2025-07-28 01:16:37

概要作成中

Rust スマートコントラクト養成日記（7）契約の安全性における権限管理

この記事では、Rustスマートコントラクトにおける権限管理に関する内容を2つの側面から紹介します。

コントラクトのメソッド（関数）アクセス/呼び出しの可視性
特権関数のアクセス制御/権限と責任の分担

1. コントラクト関数（メソッド）の可視性

スマートコントラクトを作成する際に、契約関数の可視性を指定することで、関数の呼び出し権限を制御し、契約の重要な部分が意図しないアクセスや操作から保護されるようにします。

Bancor Network取引所を例にとると、2020年6月18日に契約の重要な関数のアクセス制御権限設定の誤りによって発生したセキュリティ事件がありました。この契約はSolidity言語で記述されており、契約関数の可視性はpublic/externalとprivate/internalの2種類に分かれています。前者は契約関数が外部の呼び出し者によって呼び出されることを許可し、契約インターフェースの一部と見なされます。

Bancor Networkは、あるセキュリティの脆弱性を修正する際に、契約の一部の重要な送金関数をpublic属性に設定してしまい、誰でも契約の外部からこれらの関数を呼び出して送金操作を行えるようになってしまいました。この脆弱性により、ユーザーの59万ドルの資産が深刻なリスクにさらされています。

Rustスマートコントラクトにおいても、合約関数の可視性制御を重視する必要があります。NEAR SDKで定義されたマクロ#[near_bindgen]は、Rustスマートコントラクト関数を修飾するために使用され、以下のいくつかの異なる可視性属性があります:

pub fn: このメソッドはpublicであり、コントラクトインターフェースの一部であり、誰でもコントラクトの外部から呼び出すことができます。
fn: pubが明示的に指定されていない場合、その関数は契約外から直接呼び出すことができず、契約内の他の関数からのみ呼び出すことができます。
pub(crate) fn: pub(に相当し、crate)内でのみ呼び出されるように契約メソッドを制限します。

もう一つの方法は、契約のメソッドをinternalに設定することで、契約内に独立したimpl Contractコードブロックを定義することであり、そのimplementationは#[near_bindgen]によって装飾されていません。

コールバック関数は、定義がpublic属性に設定されている必要がありますが、同時にコントラクト自身によってのみ呼び出されることを確認する必要があります。NEAR SDKは、#[private]マクロを提供して、この機能を実現します。

注意すべきは、Rust言語ではデフォルトですべてがprivateであり、pub Traitのサブプロジェクトとpub EnumのEnum変数のみがデフォルトでpublicであるということです。

2. 特権関数のアクセス制御（ホワイトリストメカニズム）

関数の可視性に加えて、契約の意味層面から完全なアクセス制御ホワイトリストメカニズムを構築する必要があります。契約の初期化、開始/停止、統一送金などの特権関数は、通常、契約の所有者（owner）のみが呼び出すことができます。

これらの特権関数は、外部から呼び出されるためにpublic属性として設定する必要がありますが、同時にアクセス制御ルールを定義し、条件を満たすユーザーのみが完全に実行できることを保証する必要があります。

Rustのスマートコントラクトでは、Solidityのmodifier機能に似たものを実現でき、カスタムTraitを使用して特権関数へのアクセス制御を実装できます。

さび pub トレイト Ownable { fn assert_owner(&self) { assert_eq!(env::p redecessor_account_id(), self.get_ owner()); } fn get_owner(&self) -> AccountId; fn set_owner(&mut自己、所有者:AccountId); }

このトレイトを使用することで、コントラクト内の特権関数へのアクセス制御を実現でき、取引の呼び出し者がコントラクトのオーナーである必要があります。この原理に基づき、より複雑なモディファイアやトレイトをカスタマイズすることで、複数のユーザーや複数のホワイトリストを設定し、細かいグループアクセス制御を実現できます。