Ethereum қауіпсіздік жаңартулары eMudhra сертификатындағы осалдықты түзетеді
Ethereum клиенттері Teku мен Besu зерттеушілер Үндістанның eMudhra компаниясы басқаратын сегіз аралық сертификаттау орталығына қатысты жеке кілттердің кездейсоқтығы әлсіз екенін анықтағаннан кейін қауіпсіздік жаңартуларын шығарды. Бұл осалдық шабуылдаушыларға ашық сертификаттардан кілттерді есептеп шығарып, жалған сертификаттар беруге мүмкіндік беруі мүмкін. Teku 27 қазанда 26.10.3 нұсқасын шығарды, ал Besu одан бір күн бұрын 26.10.2 нұсқасын шығарып, Docker образдарынан зардап шеккен сертификаттарға деген сенімді алып тастады.
Java әдепкі бойынша сертификаттардың кері қайтарылғанын тексермейтіндіктен, валидатор мен сыртқы қызметтің арасындағы шабуылдаушы сол қызметтің атынан әрекет ете алады. Ең нашар жағдайда валидаторды транзакция комиссияларын басқа жаққа бағыттайтын блок ұсынуға алдап көндіруі мүмкін. Валидатор кілттерін басқаратын сыртқы қол қою құралының бұзылуы бұдан да үлкен қауіп төндіруі ықтимал. Бұл мәселе Ethereum-ның бір деңгейлі желілік хаттамаларына әсер етпейді.
Teku негізгі желінің әдепкі конфигурациялары зардап шекпегенін және осалдықтың пайдаланылғаны туралы мәлімет жоқ екенін айтты. Docker пайдаланушылары клиент образдарын жаңартуы керек; клиенттерді тікелей іске қосатын операторларға Java сенетін сертификаттарды бөлек жаңарту қажет болуы мүмкін. Teku Java 26 нұсқасына қолдау көрсетілмейтінін айтып, Java 25 нұсқасын ұсынады. eMudhra зардап шеккен сертификаттарды кері қайтарып, сертификаттар бизнесінен шығатынын мәлімдеді. Бұл оқиға валидатор инфрақұрылымындағы тәуекелдерді көрсетеді, бірақ қаражат жоғалғаны туралы хабар жоқ және протоколдың тұтас ауқымда істен шыққанына дәлел келтірілмеген.
Neutral
Осалдық валидаторлар инфрақұрылымындағы сертификаттарға деген сенімге қатысты, Ethereum консенсусына немесе оның бір рангті протоколдарына қатысы жоқ. Teku негізгі желінің әдепкі конфигурацияларына әсер етпейтінін мәлімдеді, сондай-ақ осалдықты пайдалану немесе қаражат жоғалту жағдайлары туралы хабарланған жоқ. Бұл факторлар ETH-ті ұзақ уақыт бойы сатуға тікелей себептерді шектейді, дегенмен қауіпсіздік туралы ескерту және операторлардың жүйелерін жаңарту қажеттілігі қысқа мерзімді сақтыққа немесе құбылмалылыққа әкелуі мүмкін.
Қысқа мерзімде трейдерлер клиенттік бағдарламалық жасақтама жаңартуларының қаншалықты енгізіліп жатқанын және осалдықты пайдалану не валидаторлардың жұмысының бұзылуы туралы хабарламалардың бар-жоғын бақылауы мүмкін. Жаңартулар кеңінен енгізіліп, ешқандай оқиға тіркелмесе, нарыққа әсері шектеулі болып қалуы ықтимал. Ұзақ мерзімде бұл оқиға валидатор қызметтерін, сыртқы қол қоюшыларды және сертификаттарға тәуелділіктерді мұқият тексеруге түрткі болуы мүмкін. Бұл операциялық шығындарды арттыруы немесе қауіпсіздікке қатысты алаңдаушылықты күшейтуі мүмкін, бірақ қолда бар ақпарат Ethereum желісіне немесе оның негізгі көрсеткіштеріне ұзақ мерзімді қауіп төніп тұрғанын білдірмейді. Жалпы алғанда, ETH бағасына тікелей әсері бейтарап.