Ethereum güvenlik güncellemeleri, eMudhra sertifikasındaki açığı gideriyor
Ethereum istemcileri Teku ve Besu, araştırmacıların Hindistan merkezli eMudhra tarafından işletilen sekiz ara sertifika otoritesine bağlı özel anahtarlarda zayıf rastgelelik tespit etmesinin ardından güvenlik güncellemeleri yayımladı. Bu açık, saldırganların açık sertifikalardan anahtarları elde edip sahte sertifikalar düzenlemesine olanak tanıyabilir. Teku 27 Ekim’de 26.10.3 sürümünü yayımlarken Besu bir gün önce 26.10.2 sürümünü çıkardı ve etkilenen sertifikalara duyulan güveni Docker imajlarından kaldırdı.
Java, sertifika iptal durumunu varsayılan olarak denetlemediğinden, bir doğrulayıcı ile harici bir hizmet arasına giren saldırgan bu hizmeti taklit edebilir. En kötü senaryoda doğrulayıcı, işlem ücretlerini başka yöne aktaran bir blok önermesi için kandırılabilir. Doğrulayıcı anahtarlarını yöneten harici bir imzalayıcının ele geçirilmesi daha ciddi bir risk oluşturabilir. Sorun, Ethereum’un eşler arası protokollerini etkilemiyor.
Teku, varsayılan mainnet yapılandırmalarının etkilenmediğini ve bilinen bir istismar olmadığını belirtti. Docker kullanıcıları istemci imajlarını güncellemeli; istemcileri doğrudan çalıştıran operatörlerin Java’nın güvenilir sertifikalarını ayrıca güncellemesi gerekebilir. Teku, Java 26’nın desteklenmediğini belirtiyor ve Java 25’i öneriyor. eMudhra etkilenen sertifikaları iptal etti ve sertifika işinden çıkacağını açıkladı. Olay, doğrulayıcı altyapısındaki risklere dikkat çekiyor; ancak fon kaybı bildirilmedi ve protokol genelinde bir arıza olduğuna dair kanıt yok.
Neutral
Açık, Ethereum’un mutabakat mekanizmasını veya eşler arası protokollerini değil, doğrulayıcı altyapısındaki sertifika güvenini ilgilendiriyor. Teku, ana ağın varsayılan yapılandırmalarının etkilenmediğini belirtiyor ve açığın istismar edildiğine ya da fon kaybına ilişkin herhangi bir bildirim bulunmuyor. Bu unsurlar, ETH üzerinde uzun süreli satış baskısı için acil gerekçeleri sınırlıyor. Bununla birlikte, güvenlik uyarısı ve operatörlerin güncelleme yapma gerekliliği kısa süreli temkinliliğe veya oynaklığa yol açabilir.
Kısa vadede yatırımcılar, istemci güncellemelerinin ne ölçüde benimsendiğini ve herhangi bir istismar ya da doğrulayıcı kesintisi bildirimi olup olmadığını izleyebilir. Güncellemeler yaygın biçimde uygulanır ve herhangi bir olay yaşanmazsa piyasa etkisinin sınırlı kalması muhtemeldir. Uzun vadede bu olay, doğrulayıcı hizmetlerinin, harici imzalayıcıların ve sertifika bağımlılıklarının daha yakından incelenmesine yol açabilir. Bu durum operasyonel maliyetleri artırabilir veya güvenlik kaygılarını güçlendirebilir; ancak mevcut bilgiler Ethereum ağı ya da temel dinamikleri için kalıcı bir tehdide işaret etmiyor. Genel olarak ETH fiyatı üzerindeki doğrudan etki nötrdür.