TL;DR
- Teku 26.10.3 এবং Besu 26.10.2 এমুধ্রা-সংযুক্ত সার্টিফিকেট রুটগুলির বিশ্বাস সরিয়ে ফেলে যখন কমপ্রোমাইজড ইন্টারমিডিয়েট কীগুলি কিছু HTTPS-ভিত্তিক ভ্যালিডেটর কনফিগারেশনকে অপহরণের ঝুঁকির মধ্যে ফেলেছিল।
- ডিফল্ট টেকু মেইননেট নোডগুলি অপ্রভাবিত রয়েছে, এবং কোনো দুর্বলতা প্রতিবেদন করা হয়নি, যখন ঝুঁকি নির্ভর করে ভ্যালিডেটরদের HTTPS-এর মাধ্যমে বাহ্যিক সেবাগুলির সাথে সংযোগ স্থাপনের উপর।
- ডকার ব্যবহারকারীদের ক্লায়েন্ট ইমেজ আপডেট করা উচিত, যখন স্ট্যান্ডঅলোন অপারেটরদের আলাদাভাবে জাভা প্যাচ করতে হবে; জাভা 26 ব্যবহারকারীদের সমর্থিত জাভা 25 বিল্ডে স্থানান্তরিত হতে হবে।
Teku এবং Besu ইথেরিয়াম নোড কনফিগারেশনগুলিকে প্রতারণামূলক HTTPS কানেকশনগুলির জন্য প্রকাশ করে দেওয়ার পরে সুরক্ষা আপডেট প্রকাশ করেছে। Teku-এর রিলিজ নোট ডকার ইমেজ থেকে চারটি প্রভাবিত সার্টিফিকেট রুটের জন্য বিশ্বাস সরিয়ে ফেলা 26.10.3 সংস্করণের সুপারিশ করে, যখন Besu 26.10.2 সংস্করণ প্রকাশ করেছে। এই আপডেটগুলি Ethereum-এর কনসেনসাস নিয়মের কোনও ত্রুটির পরিবর্তে সফটওয়্যার-বিতরণ স্তরে সার্টিফিকেট বিশ্বাসকে সমাধান করে। ডিফল্ট Teku mainnet নোডগুলি প্রভাবিত হয়নি, যা ঘটনাটিকে Ethereum প্রোটোকলের ভালোবাসা থেকে আলাদা রাখে।
সংক্রান্ত সার্টিফিকেট কীগুলি দ্বারা প্রতারণার ঝুঁকি সৃষ্টি হয়েছে
গবেষকদের কাছে পাওয়া গেছে যে আটটি eMudhra মধ্যবর্তী সার্টিফিকেট কর্তৃপক্ষের প্রাইভেট কীগুলি অপর্যাপ্ত র্যান্ডমনেসের কারণে পুনরুদ্ধার করা যায়। যদিও সার্টিফিকেটগুলি বাতিল করা হয়েছে, জাভা ডিফল্টরূপে বাতিলের পরীক্ষা করে না, যার ফলে রানটাইমগুলি প্রতারণামূলক সার্টিফিকেটগুলি গ্রহণ করতে সক্ষম হয়। একজন আক্রমণকারী যদি একটি নোড এবং HTTPS সেবার মধ্যে অবস্থান করে, তবে ভুলভাবে সংবেদনশীল কনফিগারেশনের অধীনে সেই এন্ডপয়েন্টকে প্রতারণা করতে পারে। এই ঘটনাটি Ethereum client diversity and operational security-এর কনসেনসাস কোডের বাইরেও বিস্তৃত হওয়ার কারণটি আবারও শক্তিশালীভাবে প্রমাণিত করে।
সর্বোচ্চ ঝুঁকিপূর্ণ পরিস্থিতিগুলির মধ্যে রয়েছে ভ্যালিডেটরগুলির HTTPS-এর মাধ্যমে বাহ্যিক সেবাগুলির সাথে সংযোগ স্থাপন। একটি প্রতারণামূলক এন্ডপয়েন্ট ব্লক-নির্মাণের তথ্য পরিবর্তন করতে, ফি প্রাপকদের পুনঃনির্দেশ করতে বা একটি অপব্যবহারকারী বাহ্যিক সাইনারের মাধ্যমে স্বাক্ষর প্রাপ্তি করতে পারে। টেকু বলেছে যে একজন আক্রমণকারী একটি দূরবর্তী বিকন নোড ব্যবহারকারী ভ্যালিডেটর ক্লায়েন্টকে আক্রমণকারীর ঠিকানায় ফি প্রদানকারী ব্লক প্রস্তাব করতে বাধ্য করতে পারে। ঝুঁকি নেটওয়ার্কের অবস্থান এবং দূরবর্তী-সেবা কনফিগারেশনের উপর নির্ভর করে, শুধুমাত্র টেকু বা বেসু চালানোর উপর নয়। এই আক্রমণের কোনও ঘটনা এখনও প্রতিবেদন করা হয়নি।
Teku 26.10.3 ডকার ইমেজগুলিতে emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 এবং AAA Certificate Services-এর জন্য বিশ্বাস সরিয়ে ফেলে। Besu-এর আপডেটটি একই পদ্ধতি প্রয়োগ করে। সরাসরি বাইনারি চালানোকারীদের জন্য ক্লায়েন্ট আপগ্রেড হোস্ট রানটাইমের সার্টিফিকেট স্টোরকে প্রতিস্থাপন না করায়, Java-কে আলাদাভাবে আপডেট করতে হবে। তাই ডকার এবং স্ট্যান্ডঅলোন ডিপ্লয়মেন্টের জন্য ভিন্ন ভিন্ন সমাধানের পথ প্রয়োজন। Ethereum validator infrastructure incidents-এর পরে এই পার্থক্যটি গুরুত্বপূর্ণ, যা দেখিয়েছে কিভাবে প্রোটোকলের বাইরের নির্ভরশীলতা staking অপারেশনকে প্রভাবিত করতে পারে।
জাভা 26 একটি জটিলতা তৈরি করে কারণ এটির জীবনকাল শেষ হয়ে গেছে এবং প্রয়োজনীয় প্যাচযুক্ত বিল্ড পাওয়া যাবে না, যার অর্থ প্রভাবিত অপারেটরদের জাভা 25-এ স্থানান্তরিত হতে হবে। পিয়ার-টু-পিয়ার ইথেরিয়াম নেটওয়ার্কিং প্রকাশ করা হয়নি কারণ এটি এই সার্টিফিকেট অথরিটিগুলির উপর নির্ভরশীল নয়। সংশোধনগুলি একটি তৃতীয়-পক্ষের ট্রাস্ট-স্টোর ঝুঁকি কমায়, কিন্তু একটি লাইভ মেইননেট দুর্বলতা ঠিক করে না বা ইথেরিয়ামের প্রোটোকল পরিবর্তন করে না। এই ঘটনাটি Glamsterdam deposit-routing correctionসহ অন্যান্য সুরক্ষা কাজের পরিপ্রেক্ষিতে ঘটেছে, যা বোঝায় যে ভ্যালিডেটরের নিরাপত্তা প্রোটোকল কোড এবং সমর্থনকারী অবকাঠামোর উপর নির্ভরশীল।