Ethereumのセキュリティアップデート、eMudhra証明書の脆弱性に対処

研究者が、インドのeMudhraが運営する8つの中間認証局に関連する秘密鍵について、乱数の強度が不十分であることを発見したことを受け、EthereumクライアントのTekuとBesuはセキュリティ更新を公開しました。この脆弱性を悪用すると、攻撃者が公開証明書から鍵を割り出し、不正な証明書を発行できる可能性があります。Tekuは10月27日にバージョン26.10.3を公開し、Besuはその前日の26.10.2で、Dockerイメージから影響を受ける証明書を信頼対象から除外しました。 Javaは標準設定では証明書が失効しているかどうかを確認しません。そのため、バリデーターと外部サービスの間に位置する攻撃者は、そのサービスになりすます可能性があります。最悪の場合、バリデーターをだまして、取引手数料の送金先を変更するブロックを提案させるおそれがあります。バリデーターの鍵を扱う外部署名サービスが侵害された場合、さらに深刻なリスクにつながる可能性があります。この問題はEthereumのピアツーピア・プロトコルには影響しません。 Tekuによると、標準のメインネット設定は影響を受けず、悪用された事例も確認されていません。Dockerユーザーはクライアントイメージを更新してください。クライアントを直接実行している運用者は、Javaの信頼済み証明書を別途更新する必要がある場合があります。TekuはJava 26をサポートしておらず、Java 25を推奨しています。eMudhraは影響を受ける証明書を失効させ、証明書事業から撤退すると発表しました。この事案はバリデーター基盤のリスクを浮き彫りにしていますが、資金の損失は報告されておらず、プロトコル全体の障害を示す証拠もありません。