Ethereum выпустил патчи после сбоя сертификатов в Индии

В индийской сертификационной компании криптографическая ошибка отразилась на Ethereum, где она могла позволить злоумышленникам незаметно перенаправлять себе вознаграждения некоторых валидаторов.

Во вторник Teku — программное обеспечение, которое многие валидаторы используют для работы с доказательством доли Ethereum, — выпустило версию 26.10.3. В понедельник Besu, обрабатывающий транзакции Ethereum, выпустил версию 26.10.2. Оба обновления запрещают доверять сертификатам, связанным с eMudhra, в Docker-образах — предварительно упакованных версиях, которые используют многие операторы.

Валидаторы — это компьютеры, которые размещают ETH для обеспечения безопасности Ethereum и получают комиссии за предложение блоков. Некоторые из них связываются с другими сервисами через интернет и полагаются на цифровые сертификаты, чтобы убедиться, что общаются с нужным сервисом.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Что сломалось

17 октября исследователи обнаружили, что приватные ключи 8 промежуточных удостоверяющих центров eMudhra были сгенерированы с недостаточной энтропией.

Это означает, что ключи можно было вычислить по самим сертификатам, которые являются публичными. Любой, у кого были эти ключи, мог выпускать сертификаты, которые уязвимое программное обеспечение принимало за настоящие. Браузеры заблокировали сертификаты, eMudhra отозвала их на следующий день, а компания заявила, что уйдет с рынка сертификационных услуг.

Java — язык программирования, на котором работают Teku и Besu, — по умолчанию не проверяет, был ли отозван сертификат. Поэтому Docker-образы Teku продолжали доверять вредоносным сертификатам даже после того, как браузеры перестали их принимать.

Как валидаторы могли потерять деньги

Злоумышленник, находящийся между валидатором и сервисом, к которому тот подключается, мог выдать себя за этот сервис. В своем отчете о безопасности Teku сообщил, что обманутый таким образом валидатор мог предложить блок, который направляет комиссии на адрес атакующего.

Поддельный внешний подписант — отдельный сервис, хранящий ключи валидатора, — мог выдать подписи, используемые для изменения получателя вознаграждений. Teku оценил этот сценарий как наиболее рискованный.

«Стандартный узел Teku в основной сети не затронут и не требует действий, — написали разработчики, добавив, что сообщений об эксплуатации уязвимости не поступало».

Партнер Teku по безопасности Consensys Diligence первым указал на проблему.

Операторы, которые запускают Teku или Besu напрямую на своих машинах без Docker, должны самостоятельно обновить Java, поскольку обновление Ethereum-софта не затрагивает список доверенных сертификатов Java. Новые Docker-образы также не исправляют систему Java, установленную на хост-системе.

У тех, кто все еще использует Java 26, исправление сложнее. Teku сообщил, что эта версия снята с поддержки и не получит патч, поэтому таким операторам нужно перейти на Java 25.

Источник