Least Authority
Least Authority est un cabinet de conseil en sécurité qui audite des protocoles cryptographiques, des systèmes de preuves à divulgation nulle de connaissance, du code de consensus et des smart contracts pour des équipes blockchain, Web3 et fintech. Ses chercheurs lisent le code ligne par ligne, signalent les problèmes trouvés et vérifient les corrections avant de remettre un rapport final que le client peut choisir de publier.
Least Authority a été créée aux États-Unis en 2011 et s'est installée à Berlin en 2016, où Least Authority TFA GmbH travaille avec Liz Steininger comme directrice générale. Le cabinet a commencé les audits en 2014 et en a mené plus de 300 sur Ethereum, Polygon, Cosmos, Tezos, Mina, Filecoin et d'autres réseaux.
Audits de cryptographie et de preuves à divulgation nulle
L'essentiel du travail de Least Authority porte sur du code où une erreur mathématique casse la sécurité de tout le système: implémentations de preuves à divulgation nulle de connaissance, calcul multipartite sécurisé et protocoles de consensus. L'équipe audite des projets en Rust, Go, Python, C et C++, Solidity, Cairo, Circom, Noir, Haskell, OCaml et d'autres langages.
World, le projet derrière le World ID, a confié à Least Authority l'audit de sa cryptographie et de son contrôle d'unicité, qui repose sur le calcul multipartite sécurisé. Least Authority utilise des outils d'IA pour accélérer certaines étapes, et ses chercheurs relisent et valident chaque résultat avant qu'un constat entre dans le rapport.
Le processus d'audit de Least Authority
Un audit Least Authority commence par un appel sur les besoins de sécurité du projet, suivi d'une proposition avec calendrier et budget. Les chercheurs examinent ensuite le code avec l'équipe de développement, qui peut consulter les constats pendant que le travail est en cours.
Une fois les problèmes traités, Least Authority vérifie les modifications et remet le rapport final, dont la publication reste au choix du client. Comme tout audit de smart contract, ce rapport porte sur une seule version du code, et chaque mise à jour ultérieure demande son propre examen.
Du rapport sur The DAO à l'écosystème Zcash
En 2015, Least Authority a rédigé pour Ethereum un rapport de sécurité qui identifiait les failles à l'origine du piratage ultérieur de The DAO. La cryptomonnaie confidentielle Zcash est née elle aussi chez Least Authority Enterprises, avant d'être essaimée dans l'Electric Coin Company, ancienne société sœur du cabinet berlinois.
Depuis mars 2024, Least Authority est le Zcash Ecosystem Security Lead, financé par le programme Zcash Community Grants. À ce titre, le cabinet a audité les mises à jour réseau NU6 des logiciels de nœud Zebra et Zcashd ainsi que l'infrastructure Lightwalletd, et conseille les projets Zcash sur la réponse aux incidents.
Événements fintech et finance à venir en Europe
Least Authority TFA GmbH à Berlin
Least Authority TFA GmbH a son siège dans le code postal berlinois 10243, avec une filiale aux États-Unis, Least Authority USA Inc., et une autre à Singapour. L'équipe travaille surtout à distance, et le bureau berlinois a accueilli des meetups de la scène blockchain de Berlin, dont l'étape berlinoise de ZconV, la conférence Zcash.
Least Authority est membre du Bundesblock, l'association allemande de la blockchain, et collabore avec la communauté de chercheurs en sécurité de Bugcrowd. Avant d'ouvrir sa filiale à Singapour, le cabinet a suivi le programme d'accès au marché de l'Asie du Sud-Est de German Accelerator.
Le principe de moindre autorité
Le nom de la société vient du principe de moindre autorité, connu en sécurité informatique sous le nom de principe du moindre privilège. Selon cette règle, chaque composant d'un système reçoit seulement les droits nécessaires à sa propre tâche, si bien qu'une partie compromise ne peut pas prendre le contrôle du reste.
La même idée guide les produits de Least Authority, qui développe des logiciels open source protégeant la vie privée, comme le service de stockage chiffré PrivateStorage. Le cabinet publie son propre code en open source et fournit des outils sécurisés à des organisations à but non lucratif et de défense des droits humains.
Least Authority et Finance Loop
Les banques et les fintechs du réseau Finance Loop qui s'appuient sur des blockchains ou sur des preuves à divulgation nulle doivent faire examiner leur cryptographie avant le lancement. Finance Loop réunit leurs ingénieurs et leurs responsables sécurité lors de ses événements, où ils comparent la façon de cadrer ces audits et de traiter leurs conclusions.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel des technologies émergentes en finance, comme l'IA, la tokenisation, les stablecoins et la DeFi. Finance Loop aide ses membres à développer des compétences et des réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.