Kebocoran kriptografi di perusahaan sertifikat India telah masuk ke Ethereum, di mana hal itu bisa memungkinkan penyerang mengirimkan hadiah blok sejumlah validator ke diri mereka sendiri secara diam-diam.
Teku, perangkat lunak yang banyak digunakan validator untuk menjalankan sisi proof-of-stake Ethereum, merilis versi 26.10.3 pada hari Selasa. Besu, yang memproses transaksi Ethereum, merilis versi 26.10.2 pada hari Senin. Kedua pembaruan ini menghentikan kepercayaan terhadap sertifikat yang terkait dengan eMudhra, otoritas sertifikat India, dalam gambar Docker mereka, versi yang sudah dikemas yang banyak dijalankan operator.
Validator adalah komputer yang melakukan staking ETH untuk mengamankan Ethereum dan mendapatkan biaya karena mengusulkan blok. Beberapa di antaranya berkomunikasi dengan layanan lain melalui internet, dan mereka bergantung pada sertifikat digital untuk memastikan mereka berkomunikasi dengan yang tepat.
Pada 17 Oktober, para peneliti menemukan bahwa kunci pribadi di balik delapan otoritas sertifikat menengah eMudhra telah dihasilkan dengan terlalu sedikit keacakan.
Itu berarti kunci dapat dihitung dari sertifikat itu sendiri, yang bersifat publik. Siapa pun yang memiliki kunci tersebut dapat menerbitkan sertifikat yang akan diterima oleh perangkat lunak yang belum diperbarui sebagai asli. Browser memblokir sertifikat tersebut, eMudhra mencabutnya sehari kemudian, dan perusahaan sejak itu menyatakan akan keluar dari bisnis sertifikat.
Baca Selengkapnya: Sebuah perusahaan yang menjamin situs web memiliki kunci rahasia yang begitu lemah sehingga 8 di antaranya berhasil dipecahkan
Java, bahasa pemrograman yang digunakan oleh Teku dan Besu, secara default tidak memeriksa apakah sertifikat telah dicabut. Jadi, gambar Docker Teku tetap mempercayai sertifikat yang buruk bahkan setelah browser menghentikannya.
Seorang penyerang yang berada di antara validator dan layanan yang terhubung dengannya dapat berpura-pura sebagai layanan tersebut. Dalam advis keamanan Teku, disebutkan bahwa validator yang ditipu dengan cara ini dapat mengusulkan blok yang membayar biayanya ke alamat penyerang.
Sebuah penandatangan eksternal palsu, layanan terpisah yang menyimpan kunci validator, dapat menyerahkan tanda tangan yang digunakan untuk mengubah tujuan hadiah, yang dianggap Teku sebagai pengaturan paling berisiko.
“Node Teku default di mainnet tidak terpengaruh dan tidak memerlukan tindakan apa pun,” tulis tim, menambahkan bahwa “tidak ada eksploitasi yang dilaporkan.” Consensys Diligence, mitra keamanan Teku, awalnya menandai masalah ini.
Operator yang menjalankan Teku atau Besu secara langsung di mesin mereka, tanpa Docker, harus memperbarui Java secara manual, karena pembaruan perangkat lunak Ethereum tidak menyentuh daftar sertifikat tepercaya Java. Gambar Docker baru juga tidak memperbaiki Java yang terinstal di host.
Siapa pun yang masih menggunakan Java 26 menghadapi perbaikan yang lebih sulit. Teku menyatakan bahwa versi tersebut telah berakhir masa dukungannya dan tidak akan mendapatkan build yang diperbaiki, sehingga operator tersebut perlu beralih ke Java 25.