Trail of Bits 对 Ockam 的安全通信协议设计进行了密码学设计审查，Ockam 旨在实现跨异构网络的安全通信。审查肯定了 Ockam 设计的优点，并提出了加强系统安全性的建议，包括改进文档、明确安全保证以及进行形式化验证，使用 Verifpal 和 CryptoVerif 等工具来验证 Ockam Identities 的安全性。

本文揭露了Pedersen分布式密钥生成（DKG）中的一个拒绝服务漏洞，该漏洞影响了基于Frost、DMZ21、GG20和GG18协议的多个阈值签名方案实现。恶意参与者可暗中提高重建共享密钥所需的阈值，导致使用该密钥生成的签名无效。Trail of Bits已向受影响的代码库维护者披露此漏洞，并跟进修复进展。

本文介绍了Open Source Technology Improvement Fund (OSTIF) 与 Trail of Bits 合作进行的一系列开源项目的安全审计和威胁建模工作，包括Linux kernel release signing、CloudEvents、curl、KEDA、Eclipse Mosquitto、Eclipse Jetty、Eclipse JKube、Flux 和 Dragonfly。

本文介绍了Homebrew与Alpha-Omega和OpenSSF合作的一个新项目，旨在提高Homebrew的透明度和安全性，通过为homebrew-core引入密码学上可验证的构建来源，使Homebrew的软件包符合SLSA Build L2标准，从而增强Homebrew的软件供应链安全，抵御潜在的供应链攻击。

Rekt Test 是由 Web3 安全专家创建的，旨在帮助区块链开发者客观评估其安全状况和衡量进展的简单测试，该测试通过12个问题，涵盖了角色权限文档、外部依赖文档、事件响应计划、攻击方式记录、身份验证、安全负责人、硬件密钥、密钥管理、不变量测试、自动化工具、外部审计与漏洞披露、用户滥用防范等方面。旨在促进区块链社区对安全问题的有意义的讨论。

Echidna 2.1.0 版本引入了直接检索链上数据的新功能，如合约代码和存储槽值。文章展示了如何使用 Echidna 复现 2022 年 Stax Finance 被攻击事件，该事件是由于 StaxLPStaking 合约中缺少验证检查，导致价值 230 万美元的 xLP 代币被盗。

本文介绍了PyPI（Python Package Index）上新的、更安全的身份验证方法——“可信发布”。它基于OpenID Connect (OIDC) 构建，无需长期存在的APIToken和密码，降低了供应链攻击和凭据泄露的风险，简化了发布工作流程，允许CI/CD系统安全地发布包而无需共享密钥。文章还探讨了可信发布的安全模型、潜在威胁及应对措施。

Trail of Bits 发布了一组预构建的属性，用于指导智能合约模糊测试工具 Echidna，或直接通过单元测试使用。这些属性涵盖了与常见 ERC token 接口的兼容性、通用可测试的安全属性以及用于测试定点数学运算的属性。此外，文章还介绍了如何使用这些属性，以及未来的工作方向。

Trail of Bits 团队通过对 cURL 命令行接口（CLI）进行模糊测试，发现了多个内存损坏漏洞，包括 use-after-free、double-free 和内存泄漏。

Sigstore 是一种免费且与生态系统无关的软件签名服务，它使开发者能够签署、验证和保护他们的软件项目及其依赖项。