Least Authority
Least Authority ist ein Beratungsunternehmen für Sicherheit, das kryptografische Protokolle, Zero-Knowledge-Beweissysteme, Konsenscode und Smart Contracts für Blockchain-, Web3- und Fintech-Teams prüft. Die Forscher lesen den Code Zeile für Zeile, melden die gefundenen Fehler und prüfen die Korrekturen, bevor sie einen Abschlussbericht liefern, den der Kunde veröffentlichen kann.
Least Authority entstand 2011 in den USA und zog 2016 nach Berlin, wo die Least Authority TFA GmbH mit Liz Steininger als Geschäftsführerin arbeitet. Die Firma prüft seit 2014 Code und hat mehr als 300 Sicherheitsaudits abgeschlossen, auf Ethereum, Polygon, Cosmos, Tezos, Mina, Filecoin und weiteren Netzwerken.
Audits von Kryptografie und Zero-Knowledge-Proofs
Least Authority prüft vor allem Code, bei dem ein mathematischer Fehler die Sicherheit des ganzen Systems bricht: Implementierungen von Zero-Knowledge-Proofs, sicherer Mehrparteienberechnung und Konsensprotokollen. Das Team prüft Projekte in Rust, Go, Python, C und C++, Solidity, Cairo, Circom, Noir, Haskell, OCaml und weiteren Sprachen.
World, das Projekt hinter der World ID, ließ von Least Authority seine Kryptografie und seine Einmaligkeitsprüfung auditieren, die auf sicherer Mehrparteienberechnung läuft. Least Authority setzt KI-Werkzeuge ein, um Teile eines Audits zu beschleunigen, und die Forscher prüfen jedes Ergebnis, bevor ein Befund in den Bericht kommt.
So läuft ein Audit bei Least Authority
Ein Audit bei Least Authority beginnt mit einem Gespräch über den Sicherheitsbedarf des Projekts, danach folgt ein Angebot mit Zeitplan und Budget. Die Forscher prüfen den Code dann gemeinsam mit dem Entwicklungsteam, das Befunde schon während der laufenden Arbeit einsehen kann.
Sobald das Team die Fehler behoben hat, prüft Least Authority die Änderungen und liefert den Abschlussbericht, dessen Veröffentlichung dem Kunden überlassen bleibt. Wie jedes Smart-Contract-Audit gilt ein solcher Bericht für eine Codeversion, sodass spätere Upgrades eine eigene Prüfung brauchen.
Vom DAO-Bericht zum Zcash-Ökosystem
2015 schrieb Least Authority einen Sicherheitsbericht für Ethereum, der die Schwachstellen hinter dem späteren DAO-Hack benannte. Auch die Privacy-Kryptowährung Zcash entstand bei Least Authority Enterprises und wurde in die Electric Coin Company ausgegliedert, eine frühere Schwesterfirma des Berliner Unternehmens.
Seit März 2024 ist Least Authority Zcash Ecosystem Security Lead, finanziert vom Programm Zcash Community Grants. In dieser Rolle hat die Firma die NU6-Netzupgrades der Node-Software Zebra und Zcashd sowie die Lightwalletd-Infrastruktur geprüft und berät Zcash-Projekte bei Sicherheitsvorfällen.
Kommende Fintech- und Finanz-Events in Europa
Least Authority TFA GmbH in Berlin
Die Least Authority TFA GmbH hat ihren Sitz im Berliner Postleitzahlbezirk 10243, mit einer Tochter in den USA, der Least Authority USA Inc., und einer in Singapur. Das Team arbeitet überwiegend remote, und im Berliner Büro fanden Treffen der Blockchain-Szene in Berlin statt, darunter das Berliner Event der Zcash-Konferenz ZconV.
Least Authority ist Mitglied im Bundesblock, dem Blockchain-Bundesverband, und arbeitet mit der Sicherheitsforscher-Community von Bugcrowd zusammen. Bevor die Firma die Tochter in Singapur gründete, durchlief sie das Programm von German Accelerator für den Markteintritt in Südostasien.
Das Prinzip der geringsten Berechtigung
Der Firmenname geht auf das Principle of Least Authority zurück, in der Informationssicherheit auch als Prinzip der geringsten Rechte bekannt. Danach erhält jede Komponente eines Systems nur die Rechte, die sie für ihre eigene Aufgabe braucht, damit ein kompromittierter Teil nicht den Rest übernehmen kann.
Dieselbe Idee prägt die Produkte von Least Authority, die datenschutzfreundliche Software auf Open-Source-Basis baut, etwa den verschlüsselten Speicherdienst PrivateStorage. Die Firma veröffentlicht ihren eigenen Code als Open Source und unterstützt gemeinnützige und Menschenrechtsorganisationen mit sicheren Werkzeugen.
Least Authority und Finance Loop
Banken und Fintechs im Netzwerk von Finance Loop, die auf Blockchains oder Zero-Knowledge-Proofs aufbauen, brauchen vor dem Start eine Prüfung ihrer Kryptografie. Finance Loop bringt ihre Entwickler und Sicherheitsverantwortlichen auf seinen Events zusammen, wo sie vergleichen, wie sie solche Audits zuschneiden und mit den Befunden umgehen.
Finance Loop ist ein Experten-Netzwerk und will die institutionelle Nutzung neuer Technologien im Finanzwesen voranbringen, wie KI, Tokenisierung, Stablecoins und DeFi. Finance Loop hilft seinen Mitgliedern, Kompetenzen und persönliche Netzwerke in diesen Bereichen aufzubauen: Investment und digitale Vermögenswerte, Zahlungsverkehr und digitales Geld, Digitale Infrastruktur und Souveränität und Risiko und Compliance.