ZEN 2020安全审计报告
Horizen团队致力于开发最安全、可互操作的区块链生态系统，致力于保护用户的安全。
2020年1月，Horizen向多家具有区块链和密码学经验的审计公司发出了报价请求。通过我们的合同选择流程，该合同因其在审核比特币安全服务方面的行业经验以及对先前审核的Zcash代码库的深入了解，所以我们选择了Coinspect进行安全审计。
关于ZEND审计报告
审核的目的是确定安全漏洞：全面系统漏洞，拒绝服务攻击，信息泄露，网络协议弱点，输入验证以及共识规则中的激励措施失误。第三方审核是评估系统安全性的无偏机制，但不能保证网络的完全安全。
审核的重点是审查Horizen平台对Zcash协议实施的补充，包括其核心共识规则，网络协议和隐私功能。此外，Coinspect验证了Horizen已正确修复了从Zcash上游继承的每个已知漏洞。
结果
Coinspect发现Horizen对Zcash源代码的修改没有引入高风险漏洞。审计结果包括7个风险项目；已修复7个问题中的6个，并投入生产。其余未清项目的严重性较低。Horizen通过扩展文档减轻了未解决的问题。查找摘要在下面列出：
- 重大风险：0
- 高风险：1 （修复1）
- ZEN-006 –由于未打补丁的Zcash CVE-2020-8806（由于ZEN 2.0.21修复），共识叉和双花攻击风险
- 中度风险：4 （已修复4）
- ZEN-002 – OP_CHECKBLOCKATHEIGHT参数的不一致解析会导致创建无法使用的UTXO，并由ZEN 2.0.22修复
- ZEN-003 – OP_CHECKBLOCKATHEIGHT参数的不连贯和松散解析–未开始，需要评估和计划，已通过ZEN 2.0.22修复
- ZEN-004 – DoS：在CPU密集型签名验证之后执行OP_CHECKBLOCKATHEIGHT验证，已由ZEN 2.0.22修复
- ZEN-007 – TLS实现支持TLS协议的1.0版。TLS协议的此版本存在多个众所周知的加密漏洞，并被ZEN 2.0.22修复的行业标准最佳实践广泛认为是不安全的
- 低风险：2 （修复1；开放1）
- ZEN-001 –默认情况下，安全连接降级且缺少TLS对等证书验证。Horizen决定不修正此发现，因为这样做会破坏与生态系统中其他组件的向后兼容性。但是，已采取了缓解措施：改进了有关证书验证的文档，并添加了用于禁用未加密连接回退的命令行选项。
- ZEN-005 – delay.cpp中未使用且不正确的功能，已由ZEN 2.0.22修复
