ہندوستانی سرٹیفیکیٹ کمپنی میں ایک کرپٹوگرافی کی خرابی ایتھریم میں چلی گئی، جہاں یہ حملہ آور کو خاموشی سے کچھ ویلیدیٹرز کے بلاک انعامات اپنے نام کرنا ممکن بناتی۔
ٹیکو، جو سافٹ ویئر بہت سے والیڈیٹرز کے ذریعے ایتھریم کے پروف-آف-اسٹیک پہلو کو چلانے کے لیے استعمال ہوتا ہے، منگل کو ورژن 26.10.3 جاری کیا۔ بیسو، جو ایتھریم کے ٹرانزیکشنز کو پروسیس کرتا ہے، منگل کو ورژن 26.10.2 جاری کیا۔ دونوں اپ ڈیٹس اپنے ڈاکر امیجز، جو بہت سے آپریٹرز کے ذریعے چلائے جاتے ہیں، میں eMudhra، ایک بھارتی سرٹیفکیٹ اتھارٹی سے جڑے سرٹیفکیٹس پر بھروسہ کرنے بند کر دیتے ہیں۔
ویلیڈیٹرز وہ کمپیوٹر ہیں جو ایتھریم کو محفوظ رکھنے اور بلاکس کے پیش کرنے کے لیے فیس کمانے کے لیے ETH اسٹیک کرتے ہیں۔ ان میں سے کچھ انٹرنیٹ کے ذریعے دوسری سروسز سے بات چیت کرتے ہیں، اور وہ یقینی بنانے کے لیے ڈیجیٹل سرٹیفکیٹس پر انحصار کرتے ہیں کہ وہ صحیح سروس سے بات چیت کر رہے ہیں۔
17 اکتوبر کو، تحقیق کاروں نے پایا کہ eMudhra کے آٹھ درمیانی سرٹیفیکیٹ اتھارٹیز کے پرائیویٹ کلوز کم تصادفی طریقے سے تخلیق کیے گئے تھے۔
اس کا مطلب یہ تھا کہ کلیدیں خود سرٹیفکیٹس سے نکالی جا سکتی تھیں، جو عوامی ہیں۔ ان کلیدوں کو رکھنے والے کوئی بھی ایسا سرٹیفکیٹ جاری کر سکتے تھے جو اپڈیٹ نہ ہونے والے سافٹ ویئر کو حقیقی سمجھ لیتا۔ براؤزرز نے ان سرٹیفکیٹس کو بلاک کر دیا، eMudhra نے اگلے دن انہیں منسوخ کر دیا، اور کمپنی نے اب تصدیق کی ہے کہ وہ سرٹیفکیٹ کا کاروبار چھوڑ دے گی۔
مزید پڑھیں: ایک کمپنی جو ویب سائٹس کے لیے گواہی دیتی ہے، کے پاس اتنے کمزور سیکرٹ کیز تھے کہ ان میں سے 8 کو توڑ دیا گیا
جاوا، جو پروگرامنگ زبان ٹیکو اور بیسو چلاتی ہے، ڈیفالٹ طور پر یہ جانچتی نہیں کہ سرٹیفکیٹ منسوخ کر دیا گیا ہے۔ اس لیے ٹیکو کے ڈاکر امیجز براؤزرز نے انہیں چھوڑ دینے کے باوجود بھی بری سرٹیفکیٹس پر بھروسہ کرتے رہے۔
ایک حملہ آور جو ایک ویلیڈیٹر اور اس کے جوڑے گئے سروس کے درمیان بیٹھا ہو، وہ اس سروس کا دعویٰ کر سکتا ہے۔ اپنے سیکیورٹی مشورے میں ٹیکو نے کہا کہ ایک ویلیڈیٹر جسے اس طرح دھوکہ دیا جائے، وہ ایک ایسا بلاک پیش کر سکتا ہے جس میں اس کے فیسز حملہ آور کے پتے پر ادا کیے جائیں۔
ایک جعلی باہری دستخط کنندہ، جو الگ سروس ہے جو ویلیڈیٹر کے کلیدیں رکھتی ہے، وہ دستخط فراہم کر سکتی ہے جن کا استعمال انعامات کی جگہ بدلنے کے لیے کیا جاتا ہے، جسے ٹیکو نے سب سے زیادہ خطرناک سیٹ اپ قرار دیا۔
ٹیم نے لکھا کہ "مین نیٹ پر ایک ڈیفالٹ Teku نوڈ متاثر نہیں ہے اور اس کے لیے کوئی کارروائی درکار نہیں"، اور اضافہ کیا کہ "کوئی استعمال کیا گیا نہیں ہے۔" Consensys Diligence، جو Teku کا سیکورٹی پارٹنر ہے، نے ابتدائی طور پر اس مسئلے کو نشان زد کیا۔
جو آپریٹرز ٹیکو یا بیسو کو اپنے مشین پر ڈاکر کے بغیر چلاتے ہیں، انہیں جاوا کو خود اپ ڈیٹ کرنا ہوگا، کیونکہ ایتھریم سافٹ ویئر کو اپ ڈیٹ کرنے سے جاوا کی معتبر سرٹیفیکیٹس کی فہرست متاثر نہیں ہوتی۔ نئے ڈاکر امیجز بھی ہوسٹ پر انسٹال جاوا کو فکس نہیں کرتے۔
تاہم، جو لوگ اب بھی جاوا 26 استعمال کر رہے ہیں، ان کے لیے ایک مشکل تر اصلاح درکار ہے۔ ٹیکو نے کہا کہ یہ ورژن ختم ہو چکا ہے اور اس کا کوئی پیچڈ بِلڈ دستیاب نہیں ہوگا، اس لیے ان آپریٹرز کو جاوا 25 پر منتقل ہونا ہوگا۔