خطأ في التشفير في شركة شهادات هندية قد وصل إلى إيثريوم، حيث كان يمكنه السماح للمهاجمين بإرسال مكافآت الكتل لبعض المُحققين إلى حساباتهم الخاصة بهدوء.
Teku، البرنامج الذي يستخدمه العديد من المُحققين لتشغيل جانب إيثريوم القائم على إثبات الحصة، أصدر الإصدار 26.10.3 يوم الثلاثاء. Besu، الذي يعالج معاملات إيثريوم، أصدر الإصدار 26.10.2 يوم الاثنين. كلا التحديثين يتوقفان عن الثقة في الشهادات المرتبطة بـ eMudhra، سلطة شهادات هندية، في صور Docker الخاصة بهما، وهي الإصدارات المُعبأة مسبقًا التي يشغلها العديد من المشغلين.
المُصدِّقون هم الحواسيب التي تُقيّد ETH لتأمين إيثريوم وكسب الرسوم مقابل اقتراح الكتل. بعضها يتواصل مع خدمات أخرى عبر الإنترنت، وتعتمد على شهادات رقمية للتأكد من أنها تتواصل مع الجهة الصحيحة.
في 17 أكتوبر، وجد الباحثون أن المفاتيح الخاصة وراء ثمانية من سلطات الشهادات الوسيطة الخاصة بـ eMudhra تم إنشاؤها بعشوائية غير كافية.
هذا يعني أنه يمكن استنتاج المفاتيح من الشهادات نفسها، والتي عامة. أي شخص يمتلك تلك المفاتيح يمكنه إصدار شهادات تقبلها البرامج غير المحدثة كشهادات حقيقية. حظرت المتصفحات الشهادات، وألغت eMudhra الشهادات بعد يوم واحد، وقد قالت الشركة منذ ذلك الحين إنها ستالانسحاب من عمل الشهادات.
اقرأ المزيد: شركة تضمن المواقع كانت تمتلك مفاتيح سرية ضعيفة جدًا، تم كسر 8 منها
لغة البرمجة جافا، التي تعمل عليها Teku و Besu، لا تتحقق افتراضيًا مما إذا كان الشهادة قد أُلغيت. لذا استمرت صور Docker الخاصة بـ Teku في الثقة بالشهادات السيئة حتى بعد أن توقفت المتصفحات عن قبولها.
يمكن لمهاجم يجلس بين المُحقق والخدمة التي يتصل بها أن يتقمص دور تلك الخدمة. وفي إشعار الأمان الخاص به، قال Teku إن مُحققًا تم خداعه بهذه الطريقة يمكنه اقتراح كتلة تدفع رسومها إلى عنوان المهاجم.
مُوقِّع خارجي مزيف، وهو الخدمة المنفصلة التي تحتفظ بمفاتيح المُحقق، يمكن أن تُسلّم التوقيعات المستخدمة لتغيير وجهة المكافآت، والتي صنّفها Teku كأفضل إعداد من حيث المخاطر.
كتب الفريق: "عقدة Teku الافتراضية على الشبكة الرئيسية غير متأثرة ولا تحتاج إلى أي إجراء"، وأضاف أن "لم يتم الإبلاغ عن أي استغلال". وقد أشار شريك أمنية Teku، Consensys Diligence، إلى المشكلة في البداية.
يجب على المشغلين الذين يشغلون Teku أو Besu مباشرة على أجهزتهم، دون استخدام Docker، تحديث Java بأنفسهم، حيث أن تحديث برنامج Ethereum لا يؤثر على قائمة شهادات الثقة الخاصة بـ Java. كما أن صور Docker الجديدة لا تصلح Java المثبتة على المضيف.
لكن من لا يزال يستخدم Java 26 يواجه تصحيحًا أكثر صعوبة. أفاد Teku أن هذه الإصدار انتهى دعمه ولن يتلقى إصدارًا مُصلحًا، لذا يجب على هؤلاء المشغلين الانتقال إلى Java 25.