Ethereum müştəriləri ETH mükafatlarını yönləndirmək üçün zəifliyi düzəldir

Ethereum müştəri inkişaf etdiriciləri Teku və Besu, validatorlar tərəfindən istifadə olunan xidmətləri təqlid etməyə imkan verən və potensial olaraq onların blok mükafatlarını yönləndirməyə səbəb ola biləcək bir sertifikat zəifliyini aradan qaldırmaq üçün təhlükəsizlik yeniləmələri buraxıblar.

Xülasə

• Ethereum müştəriləri Teku və Besu, validator blok mükafatlarını öz ünvanlarına yönləndirməyə imkan verən bir sertifikat zəifliyi aşkar edildikdən sonra təhlükəsizlik yeniləmələri buraxıblar.
• Zəiflik, Hindistan şirkəti eMudhra tərəfindən idarə olunan səkkiz sertifikat orqanı ilə əlaqəli zəif kriptoqrafik açarlardan qaynaqlanır ki, bu da hücumçuların saxta sertifikatlar yaratmasına imkan verə bilər.
• Teku, hücumçuların Ethereum validatorları tərəfindən istifadə olunan xarici xidmətləri təqlid edə biləcəyini və müəyyən konfiqurasiyalar altında blok təkliflərini manipulyasiya edə biləcəyini və ya həssas validator imzalarını əldə edə biləcəyini xəbərdar etdi.
• Default Teku mainnet konfiqurasiyaları təsirlənməyib və inkişaf etdiricilər zəifliyin istismarına dair heç bir məlumatın olmadığını təsdiqləyiblər.
• Standalone Teku və ya Besu quraşdırmalarını istifadə edən operatorlar, ən son Docker görüntüsü düzəlişlərinin yerli quraşdırılmış Java sertifikatlarını avtomatik olaraq yeniləmədiyi üçün Java mühitlərini ayrıca yeniləməlidirlər.

Buraxılışlarla birlikdə təqdim olunan təhlükəsizlik məsləhətlərinə görə, problem Hindistanın rəqəmsal sertifikat təminatçısı eMudhra-ya məxsus sertifikat orqanı açarlarının pozulmasından qaynaqlanır ki, bu da bəzi Ethereum düyün konfiqurasiyalarını saxta HTTPS bağlantılarına açıq qoymuşdur.

Teku 27 oktyabrda 26.10.3 versiyasını buraxdı, Besu isə bir gün əvvəl 26.10.2 versiyasını təqdim etdi. Hər iki yeniləmə, operatorların Ethereum düyün proqramını yerləşdirmək və işlətmək üçün istifadə etdiyi Docker görüntülərindən təsirə məruz qalmış eMudhra sertifikatlarına etimadı aradan qaldırır.

Zəiflik, tranzaksiyaları imzalamaq, beacon düyünləri ilə əlaqə qurmaq və ya blok qurma məlumatlarını almaq üçün xarici xidmətlərə etibar edən validatorlara təsir edə bilər. Hücumçu, təsirə məruz qalmış bir bağlantını ələ keçirməli və validatorun proqramı tərəfindən qanuni olaraq qəbul edilən saxta bir sertifikat təqdim etməlidir.

Teku-nun inkişaf etdiriciləri, default mainnet konfiqurasiyalarının təsirlənmədiyini təsdiqləyib və zəifliyin istismarına dair heç bir məlumatın olmadığını bildirmişdir.

Ethereum təhlükəsizlik zəifliyi eMudhra sertifikatlarının pozulması ilə izah olunur

Təhlükəsizlik problemi, eMudhra tərəfindən idarə olunan səkkiz aralıq sertifikat orqanı ilə bağlı kriptoqrafik bir səhv ilə başladı ki, onların özəl açarlarının kifayət qədər təsadüfi olaraq yaradıldığı aşkar edildi.

Tədqiqatçılar problemi 17 oktyabrda aşkar etdilər və özəl açarların ictimai sertifikatlarda mövcud olan məlumatlardan riyazi olaraq bərpa oluna biləcəyini kəşf etdilər.

Microsoft-un 26 oktyabr tarixli təhlükəsizlik məsləhətinə görə, təsirə məruz qalmış sertifikatların altısının internet bağlantılarını qorumaq üçün istifadə edildiyi, qalan ikisinin isə kod imzalama ilə əlaqəli olduğu bildirilib.

Pozulmuş açarlar, kiminsə təsirə məruz qalmış sertifikat orqanlarına etimad edən tətbiqlərə həqiqi görünən sertifikatlar yaratmasına imkan verə bilər.

eMudhra, təsirə məruz qalmış aralıq sertifikatları 18 oktyabrda ləğv etdi, texnologiya təminatçıları isə pozulmuş sertifikat zəncirlərinə etimadı öz proqramlarından aradan qaldırmağa başladılar.

Microsoft, 20 oktyabrda Windows təhlükəsizlik yeniləməsi vasitəsilə təsirə məruz qalmış sertifikat orqanlarını blokladı və 26 oktyabrda etimadlı siyahısından yeddi əlaqəli sertifikatı çıxarmaq üçün başqa bir yeniləmə buraxdı.

Bununla belə, problem Ethereum üçün aktual olaraq qaldı, çünki Teku və Besu Java istifadə edir, onun sertifikat təsdiqi default olaraq ləğv statusunu yoxlamır.

Nəticədə, təsirə məruz qalmış Java quraşdırmaları, ləğv edilmələrinə baxmayaraq, pozulmuş orqanlarla əlaqəli sertifikatları qəbul etməyə davam edə bilər.

Hücumçular Ethereum validator mükafatlarını necə yönləndirə bilər

Teku-nun təhlükəsizlik məsləhəti, HTTPS bağlantıları vasitəsilə xarici xidmətlərlə əlaqə quran validatorlarla bağlı bir neçə mümkün hücum ssenarisini müəyyən etdi.

Bir ssenari, bir hücumçunun validator tərəfindən Ethereum-da vəzifələrini koordinasiya etmək üçün istifadə olunan uzaq beacon düyününü təqlid etməsini əhatə edir.

Hücumçu bağlantını uğurla ələ keçirərsə və saxta sertifikat təqdim edərsə, validator, təklif etməyə hazırlaşdığı blok haqqında manipulyasiya edilmiş məlumat ala bilər.

Teku-nun məlumatına görə, belə bir hücum, validatorun əməliyyat xərclərini hücumçunun nəzarət etdiyi bir ünvana yönləndirdiyi bir blok təklif etməsinə səbəb ola bilər.

Məlumatda, xarici imza xidmətlərinin başqa bir potensial olaraq açıq komponent olduğunu qeyd etdi. Bu xidmətlər, validator imza açarlarını əsas düyün proqram təminatından ayrı saxlayır və tələb olunduqda imzalar təqdim edir.

Xarici imzalayanı təqlid edən bir hücumçu, konfiqurasiyadan və mövcud qorunmalardan asılı olaraq, validator çıxışları ilə əlaqəli imzaları əldə edə bilər.

Teku bu ssenarini xüsusilə ciddi hesab edir, baxmayaraq ki, qarşılıqlı TLS autentifikasiyasını istifadə edən konfiqurasiyalar nəticələri xidmətin dayandırılması ilə məhdudlaşdıra bilər.

Digər potensial təsir olunan bağlantılar icra müştəriləri, blok qurucuları, relaylar və validator konfiqurasiya məlumatlarını əldə etmək üçün istifadə olunan xidmətlərdir.

Zəiflik, Ethereum-un əsas peer-to-peer şəbəkə protokollarına təsir etmədi, çünki bunlar pozulmuş sertifikat orqanlarından asılı deyil.

Teku və Besu təsir olunan Ethereum düyünləri üçün düzəlişlər buraxdı

Açıqlandıqdan sonra, Teku, Docker görüntülərindən emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 və AAA Sertifikat Xidmətləri daxil olmaqla dörd sertifikat kökünü çıxarmaq üçün 26.10.3 versiyasını buraxdı.

Besu, 26.10.2 versiyasında eyni sertifikat çıxarmalarını təqdim etdi, bu da yenilənmiş Docker görüntülərini istifadə edən operatorlar üçün riski aradan qaldırdı.

Bununla belə, buraxılışlar, düyün operatorları tərəfindən ayrıca saxlanılan Java quraşdırmalarını avtomatik olaraq yeniləməz.

Teku və ya Besu-nu müstəqil ikili paylamalar vasitəsilə işlədən istifadəçilər, quraşdırılmış Java işləmə mühitini yoxlamalı və lazım olduqda etibarlı sertifikatlarını yeniləməlidirlər.

Teku, hələ də Java 26 istifadə edən operatorların Java 25-ə köçməli olacağını xəbərdar etdi, çünki əvvəlki versiya sona çatmışdır və tələb olunan düzəlişli versiyanı almayacaq.

Məlumatda, HTTPS üzərindən ilkin blokçeyn vəziyyətini yükləyən bəzi testnet konfiqurasiyalarının potensial olaraq açıq olduğunu da qeyd etdi.

Təhlükəsizlik yeniləmələri, Ethereum validator infrastrukturuna dair digər son narahatlıqlardan sonra baş verir. Bu ayın əvvəlində, crypto.news, MetaMask-ın 30 sentyabrda açıqlanan ayrı bir infrastruktur təhlükəsizliyi hadisəsindən sonra təsir olunan validatorlardan çıxmağa başladığını bildirdi.

Daha yaxın zamanda, Ethereum inkişaf etdiriciləri, tədqiqatçıların validatorlar üçün nəzərdə tutulmuş ETH-ni alan qurucu hesablarının bir ssenarisini müəyyən etdikdən sonra gələcək Glamsterdam yüksəlişində validator depozit zəifliyini düzəltdilər.

Glamsterdam yüksəlişi, inkişaf etdiricilərin EIP-8037 ilə əlaqəli ağıllı müqavilə uyğunluğu məsələlərini araşdırmaq üçün Hoodi testnet aktivləşdirməsini təxirə salmasından sonra ayrıca gecikmələrə məruz qaldı.

26 oktyabr təxirə salınması, Amsterdam icra dəyişikliklərinin və Gloas konsensus dəyişikliklərinin planlaşdırılan aktivləşdirilməsini, eləcə də Hoodi-nin qaz limitinin 200 milyon artırılması təklifini aradan qaldırdı. Ethereum inkişaf etdiriciləri əvəzləyici aktivləşdirmə tarixini elan etməyiblər.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.