Kegagalan kriptografi di sebuah syarikat sijil India telah menyeberang ke ethereum, di mana ia boleh membenarkan penyerang menghantar hadiah blok beberapa validator kepada mereka sendiri secara senyap.
Teku, perisian yang digunakan oleh banyak penentu untuk menjalankan sisi bukti-bertaruh Ethereum, melepaskan versi 26.10.3 pada hari Selasa. Besu, yang memproses transaksi Ethereum, melepaskan versi 26.10.2 pada hari Isnin. Kedua-dua kemas kini ini berhenti mempercayai sijil yang berkaitan dengan eMudhra, otoriti sijil India, dalam imej Docker mereka, versi pra-dipaketkan yang banyak pengendali jalankan.
Validator adalah komputer yang bertaruh ETH untuk mengamankan ethereum dan mendapatkan bayaran untuk mencadangkan blok. Sebahagian daripadanya berkomunikasi dengan perkhidmatan lain melalui internet, dan mereka bergantung kepada sijil digital untuk memastikan mereka berkomunikasi dengan yang betul.
Pada 17 Okt, penyelidik mendapati kunci peribadi di sebalik lapan otoriti sijil sederhana eMudhra telah dihasilkan dengan kerawakan yang terlalu rendah.
Itu bermakna kunci boleh dihitung daripada sijil itu sendiri, yang merupakan awam. Sesiapapun yang memegang kunci-kunci itu boleh mengeluarkan sijil yang akan diterima oleh perisian yang tidak diperbaiki sebagai sah. Penyemak imbas menghalang sijil-sijil itu, eMudhra mencabutnya sehari kemudian, dan syarikat tersebut sejak itu mengumumkan bahawa ia akan meninggalkan perniagaan sijil.
Baca Lebih Lanjut: Satu syarikat yang menjamin laman web mempunyai kunci rahsia yang lemah sehingga 8 daripadanya telah dipecahkan
Java, bahasa pengaturcaraan yang digunakan oleh Teku dan Besu, tidak memeriksa sama ada sijil telah dicabut secara lalai. Oleh itu, imej Docker Teku terus mempercayai sijil-sijil yang buruk walaupun pelayar telah menolaknya.
Seorang penyerang yang berada di antara validator dan perkhidmatan yang disambungkannya boleh menyamar sebagai perkhidmatan tersebut. Dalam nasihat keselamatan Teku, validator yang ditipu dengan cara ini boleh mencadangkan blok yang membayar yuran kepada alamat penyerang.
Seorang penandatangan luaran palsu, perkhidmatan berasingan yang menyimpan kunci validator, boleh menyerahkan tanda tangan yang digunakan untuk mengubah tempat hadiah dialihkan, yang dianggap oleh Teku sebagai pengaturan paling berisiko.
“Nod Teku lalai di rangkaian utama tidak terjejas dan tidak memerlukan tindakan,” tulis pasukan itu, menambahkan bahawa “tidak ada eksploitasi yang dilaporkan.” Consensys Diligence, rakan keselamatan Teku, awalnya menandakan masalah ini.
Pengendali yang menjalankan Teku atau Besu secara langsung di mesin mereka, tanpa Docker, perlu mengemas kini Java sendiri, kerana mengemas kini perisian ethereum tidak menyentuh senarai sijil dipercayai Java. Imej Docker baharu juga tidak memperbaharui Java yang dipasang pada hos.
Sesiapa yang masih menggunakan Java 26 akan menghadapi penyelesaian yang lebih sukar. Teku menyatakan versi tersebut telah berakhir tempoh hidupnya dan tidak akan menerima pembinaan yang diperbaiki, jadi pengendali perlu berpindah ke Java 25.