CryptoSlate
Core Lightning, Bitcoin'ın Lightning Network'ü üzerinden ödemeleri yönlendiren düğüm yazılımı, 7 Ekim'de bir dizi güvenlik yaması ve iki hafta önce v26.06.8'de ortaya çıkan bir ödeme yönlendirme regresyonunun düzeltmesiyle birlikte v26.06.9'u yayınladı. Sürüm, 27 Eylül'de açıklanan iptal edilmiş kanal cezası hatasını yamalayan ve ekibi kısa süreliğine acil bir kilitlenmeye zorlayan v26.06.7'nin hemen ardından geldi. Birlikte ele alındığında, yaklaşık iki haftada üç sürüm atlaması, bu son dönemde Core Lightning'in yayınladığı en yoğunlaştırılmış yama serisi oldu.
Neden önemli
Öne çıkan hata bir CPU bütçesi muhasebe hatasıydı: v26.06.8, yalnızca gossip sorguları için ayrılması gereken bir bütçeye rutin gossip, ping ve onion mesajlarını saymaya başladı. Yoğun yönlendirme düğümlerinde bu yanlış sınıflandırma eşleri kısıtlayabilir ve kanal trafiğini geciktirebilirdi. V26.06.9 bu bütçeyi yalnızca gossip sorgularına ayırarak kısıtlamanın belgelenmiş nedenini ortadan kaldırıyor. Bakımcılar ayrıca, exploit geliştirmesini yavaşlatmak ve test paketi saldırganlar için bir kılavuz haline gelmeden önce operatörlere daha fazla yükseltme süresi kazandırmak amacıyla güvenlik testlerini geçici olarak genel depodan geri tutuyor.
Piyasa etkisi
Değişiklik günlüğündeki en sonuç odaklı satır fon koruma düzeltmesi: bir HTLC, kanal kapanırken son tarihine ulaştığında, v26.06.9 artık kanalı zorla kapatıyor; böylece geç yerine getirilen bir ödeme yönlendirilen fonları kaybedemiyor. Rune izinleri sıkılaştırıldı; kısıtlı bir rune artık kısıtlanmamış bir rune oluşturamıyor ya da kara listeye alınmış girişleri yeniden listeleyemiyor ve invokerune ile destroyrune takma adları da aynı kısıtlamalara tabi. listconfigs içindeki kurtarma bilgileri ve Bitcoin RPC parolaları dahil hassas değerler artık her arayan için maskeleniyor. setconfig, kalıcı seçenek değerleri üzerinden yapılandırma satırları enjekte etme yolunu kapatıyor. Master üzerindeki operatörler veritabanı şeması daha yeni olduğu için 26.06.x sürümüne düşüremiyor, çift fonlama deneysel olmaya devam ediyor ve güvenilmeyen eşlerle sıfır onaylı kanallar hâlâ önerilmiyor.
Sıkça sorulan sorular
-
Core Lightning v26.06.9 aslında neyi düzeltiyor?
v26.06.8'de rutin gossip, ping ve onion mesajlarının gossip sorgu bütçesine sayıldığı bir CPU bütçesi muhasebe regresyonunu, yönlendirilen fonları kaybetme riski taşıyan bir HTLC zorla kapatma hatasını, rune izinlerini ve çeşitli yapılandırma güvenlik önlemlerini yamalıyor.
-
Bakımcılar güvenlik testlerini neden geri tutuyor?
Bakımcılar, exploit geliştirmesini yavaşlatmak ve testler saldırganlar için bir referans haline gelmeden önce operatörlere daha fazla yükseltme süresi kazandırmak amacıyla güvenlik test paketini geçici olarak genel depodan geri tutuyor.
-
Operatörlerin v26.06.8'den yükseltme yapması gerekiyor mu?
Evet. Bakımcılar, v26.06.8 ve önceki sürümlerdeki operatörleri en kısa sürede yükseltmeye çağırıyor. Master üzerinde çalışan düğümler, veritabanı şemaları daha yeni olduğu için 26.06.x sürümüne düşüremiyor.
-
HTLC düzeltmesi yönlendirilen fonları nasıl koruyor?
Bir HTLC, kanal kapanırken son tarihine ulaştığında, v26.06.9 artık yönlendirilen ödemenin geç yerine getirilmesi ve fonların kaybolması riskine karşı kanalı zorla kapatıyor.
-
v26.06.9'da başka hangi güvenlik önlemleri var?
listconfigs, kurtarma bilgileri ve Bitcoin RPC parolaları dahil hassas değerleri artık her arayan için maskeliyor; setconfig, kalıcı seçenek değerleri üzerinden yapılandırma enjeksiyonu yolunu kapatıyor; rune kısıtlamaları artık invokerune ve destroyrune takma adlarını da kapsıyor.
Benjamin Cowen
Crypto Capital Venture
Glassnode
WatcherGuru
WuBlockchain
CoinTelegraph
Lookonchain
CoinDesk