Ethereum istemcileri Teku ve Besu doğrulayıcı açığını yamaladı

Araştırmacıların, zayıf kriptografinin Hindistan merkezli eMudhra sertifika sağlayıcısının yönettiği sekiz ara sertifika otoritesinin özel anahtarlarını açığa çıkardığını belirlemesinin ardından Teku ve Besu güncellemeler yayımladı. Açık, saldırganların bazı Ethereum doğrulayıcılarının kullandığı hizmetleri taklit etmesine ve blok ödüllerini başka yöne yönlendirmesine olanak tanıyabilirdi. Herhangi bir istismar bildirilmedi ve varsayılan Teku ana ağ düğümleri etkilenmedi.

Neden önemli

Doğrulayıcılar, doğru hizmetlere bağlandıklarını doğrulamak için dijital sertifikalara güvenir. Açığa çıkan anahtarlarla, doğrulayıcı ile hizmet arasına giren bir saldırgan, yamalanmamış yazılımların gerçek kabul edeceği sahte bir sertifika sunabilirdi. Teku, ele geçirilmiş bir bağlantının doğrulayıcının ücretleri saldırgana yönlendiren bir blok önermesine yol açabileceği uyarısında bulundu. Sahte bir harici imzalayıcı da ödüllerin nereye gideceğini değiştirmek için kullanılabilecek imzalar sağlayabilirdi. Teku, bu yapılandırmayı en riskli seçenek olarak nitelendirdi.

Teku 26.10.3 ve Besu 26.10.2, Docker imajlarında eMudhra ile bağlantılı sertifikalara duyulan güveni kaldırıyor. Tarayıcılar bu sertifikaları engellemişti; eMudhra ise araştırmacıların sorunu 17 Ekim'de tespit etmesinden bir gün sonra sertifikaları iptal etti. Şirket, sertifika işinden çıkacağını açıkladı.

Piyasa etkisi

İlk aşamadaki endişe, Ethereum ağının genelinde yaşandığı bildirilmiş bir ihlal değil, operatör güvenliği. Teku, varsayılan ana ağ düğümlerinin etkilenmediğini ve işlem gerektirmediğini söyledi; ancak diğer yapılandırmalarda güncelleme gerekebilir. Docker kullanıcıları en yeni Teku veya Besu imajlarını yüklemeli. Yazılımı doğrudan çalıştıran operatörler Java'yı ayrıca güncellemeli; çünkü Ethereum istemcisini güncellemek Java'nın güvenilir sertifikalarını değiştirmez. Docker güncellemeleri, ana makineye yüklenmiş Java'yı da yamalamaz.

Hâlâ Java 26 kullanan operatörlerin ek bir adım atması gerekiyor: Teku, bu sürümün kullanım ömrünün sona erdiğini ve yamalı bir derlemesinin yayımlanmayacağını belirtiyor. Bu nedenle Java 25'e geçmeleri gerekiyor. Olay, sertifika güveninin ve ana makine yazılımının, Ethereum istemcisi güncellemelerinin yanı sıra doğrulayıcı güvenliğinin de bir parçası olabileceğini gösteriyor.