Ethereum-এর নিরাপত্তা আপডেটে eMudhra সার্টিফিকেটের ত্রুটি সমাধান

গবেষকেরা ভারতের eMudhra পরিচালিত আটটি মধ্যবর্তী সার্টিফিকেট কর্তৃপক্ষের সঙ্গে সংশ্লিষ্ট প্রাইভেট কীতে দুর্বল র‍্যান্ডমনেস শনাক্ত করার পর Ethereum ক্লায়েন্ট Teku ও Besu নিরাপত্তা আপডেট প্রকাশ করেছে। এই ত্রুটির সুযোগে আক্রমণকারীরা পাবলিক সার্টিফিকেট থেকে কী বের করে জাল সার্টিফিকেট ইস্যু করতে পারে। Teku ২৭ অক্টোবর 26.10.3 সংস্করণ প্রকাশ করেছে। Besu তার এক দিন আগে 26.10.2 সংস্করণ প্রকাশ করে Docker ইমেজ থেকে আক্রান্ত সার্টিফিকেটগুলোর ওপর আস্থা সরিয়ে দিয়েছে। Java ডিফল্টভাবে সার্টিফিকেট প্রত্যাহার করা হয়েছে কি না যাচাই করে না। তাই কোনো আক্রমণকারী ভ্যালিডেটর ও বহিরাগত সেবার মাঝখানে অবস্থান করলে সেই সেবার ছদ্মবেশ নিতে পারে। সবচেয়ে খারাপ পরিস্থিতিতে, ভ্যালিডেটরকে এমন ব্লক প্রস্তাব করতে প্ররোচিত করা যেতে পারে, যা লেনদেনের ফি অন্যদিকে সরিয়ে দেয়। ভ্যালিডেটরের কী পরিচালনাকারী কোনো বহিরাগত সাইনারের নিয়ন্ত্রণ হাতছাড়া হলে ঝুঁকি আরও গুরুতর হতে পারে। এই সমস্যা Ethereum-এর peer-to-peer প্রোটোকলকে প্রভাবিত করে না। Teku জানিয়েছে, ডিফল্ট mainnet কনফিগারেশন আক্রান্ত নয় এবং কোনো শোষণের ঘটনা জানা নেই। Docker ব্যবহারকারীদের ক্লায়েন্ট ইমেজ আপডেট করা উচিত; সরাসরি ক্লায়েন্ট চালানো অপারেটরদের Java-এর বিশ্বস্ত সার্টিফিকেট আলাদাভাবে আপডেট করতে হতে পারে। Teku Java 26 সমর্থন করে না এবং Java 25 ব্যবহারের পরামর্শ দেয়। eMudhra আক্রান্ত সার্টিফিকেটগুলো প্রত্যাহার করেছে এবং সার্টিফিকেট ব্যবসা ছেড়ে দেওয়ার কথা জানিয়েছে। ঘটনাটি ভ্যালিডেটর অবকাঠামোর ঝুঁকির দিকটি তুলে ধরেছে, তবে তহবিল হারানোর কোনো খবর নেই এবং পুরো প্রোটোকলব্যাপী ব্যর্থতারও কোনো প্রমাণ নেই।