> ## Documentation Index
> Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt
> Use this file to discover all available pages before exploring further.

# 監査

> Intentionの各コンポーネントに対する第三者セキュリティレビュー。現在監査中のもの、まだ監査されていないもの、報告書が公開されたときの読み方です。

このページは、Intentionの各コンポーネントに対する第三者セキュリティレビューの正式な記録です。何が監査済みで、何がレビュー中で、そして——同じく重要なこととして——何がまだ監査されていないのかを示します。

<h2 id="current-status">
  現在のステータス
</h2>

| コンポーネント         | ステータス            |
| --------------- | ---------------- |
| **クロスチェーンブリッジ** | 🔄 **第三者による監査中** |

第三者セキュリティレビューの対象となっているコンポーネントは[クロスチェーンブリッジ](/ja/protocol/architecture/bridge)です。スコープには、外部チェーン上のコントラクトと、その背後にある署名インフラが含まれます。すなわちカストディ、署名検証、2段階の出金経路とその異議申立期間、チェーン境界をまたぐバリデータ集合の伝播です。

ブリッジを優先したのは意図的です。セキュリティモデルがネットワーク自身のものではない唯一のコンポーネントだからです。その半分は別のチェーンの上で、そのチェーン固有のバリデータと固有の障害モードのもとで動きます。侵害が最も直接的に資金の喪失につながる場所でもあります。プロトコルの他の部分はブロックをリプレイすれば検証できますが、外部チェーン上のブリッジコントラクトはそうではありません。

監査人と報告書は、完了時にスコープと指摘事項とともにここで公開します。

<Warning>
  現在スコープに入っている第三者監査はこれだけです。他のコンポーネント（実行カーネル、コンセンサス、クリアリングハウス）は外部レビューではなく、以下に述べる社内統制でカバーしています。監査報告書が公開されていないことは、欠陥が存在しないことの証拠にはなりません。特にメインネット以前は、その前提で判断してください。
</Warning>

<h2 id="how-to-read-a-report-when-it-publishes">
  報告書が公開されたときの読み方
</h2>

有用な監査は3つの問いに答えます。*何がスコープに入っていたか*、*レビュー担当者が実際に何を調べたか*、*公開時点で何が未解決のまま残っているか*です。ここで公開する報告書は、いずれもこの3点を明示します。

* **スコープ**はコミットハッシュと、列挙されたコンポーネントの一覧です。一覧にないファイルやコントラクトは監査されていません。
* **指摘事項**は深刻度で分類されます。リスクを受容した指摘は省略せず、その根拠と緩和策を併記します。
* **監査以降の差分**は別途追跡します。監査後に監査対象コードへ加えられた変更には印が付くため、公開済みの報告書が現在動いているシステムをまだ記述しているかどうかを判断できます。

最後の項目は、他所で最も欠けがちなものです。監査が記述するのは特定のコミットです。それ以降に動いたコードは誰もレビューしていないコードであり、そのことを明示しない報告書は、自分のカバー範囲を過大に見せています。

<h2 id="continuous-review">
  継続的なレビュー
</h2>

ある時点を切り取った監査は、継続的に走っている統制の上に乗っています。

* カーネル、コンセンサス、ブリッジのあらゆる変更に対する**レビューゲート**
* マッチング、リスク、決済の各状態機械に対する**ファジングとプロパティベーステスト**。コミット済みブロックをリプレイして結果をバイト単位で比較する決定性チェックを含む
* 独立したエンジンビルド間での**差分テスト**。乖離はテストの失敗ではなく、コンセンサスのバグとして扱う
* 継続的な外部カバレッジのための**公開[バグバウンティ](/ja/protocol/security/bug-bounty)**

<h2 id="where-to-go-next">
  次に読む
</h2>

<CardGroup cols={2}>
  <Card title="バグバウンティ" href="/ja/protocol/security/bug-bounty">
    スコープ、深刻度、脆弱性の報告方法です。
  </Card>

  <Card title="リスク開示" href="/ja/protocol/security/risks">
    何が依然として晒されているのかを、率直に述べています。
  </Card>

  <Card title="ブリッジ" href="/ja/protocol/architecture/bridge">
    レビュー対象のコンポーネントと、その信頼前提がどこにあるのかです。
  </Card>

  <Card title="マイルストーン" href="/ja/protocol/roadmap/milestones">
    提供済みのものと、この先の日付で解禁されるものです。
  </Card>
</CardGroup>

<Info>
  監査のスコープや個別の指摘事項についての問い合わせは`contact@intention.xyz`宛に送ってください。脆弱性の開示はここではなく、[バグバウンティ](/ja/protocol/security/bug-bounty)のページに記載の手順に従ってください。
</Info>