ไคลเอนต์ Ethereum อัปเดตเพื่อจัดการกับความเสี่ยงด้านใบรับรองใน Teku และ Besu

ทีมซอฟต์แวร์อีเธอเรียมได้เผยแพร่รายการอัปเดตเพื่อจัดการความเสี่ยงที่ trust store จะเปิดรับ โดยมีความเชื่อมโยงกับคีย์ของ certificate authority ที่ถูกบุกรุกจาก eMudhra รายการเผยแพร่ของ Teku ระบุเวอร์ชัน 26.10.3 เป็นอัปเดตที่แนะนำซึ่งเกี่ยวข้องกับเหตุการณ์ ขณะที่ Besu เวอร์ชัน 26.10.2 ได้ตัดรากใบรับรองที่ได้รับผลกระทบออกจาก Docker images ใบรับรองเป็นสิ่งที่สร้างความไว้วางใจให้กับการเชื่อมต่อกับบริการระยะไกล ดังนั้นหน่วยงานออกใบรับรองที่ถูกบุกรุกอาจเปิดช่องให้เกิดการปลอมตัวในการตั้งค่าที่มีช่องโหว่ ปัญหาไม่ใช่ข้อบกพร่องใน consensus rules ของอีเธอเรียม และทีมไคลเอนต์ไม่ได้รายงานว่าโหนด Teku บน mainnet แบบค่าเริ่มต้นได้รับผลกระทบจากการโจมตีที่สำเร็จ

เหตุการณ์และการตอบสนองของตลาด

ซอฟต์แวร์ที่ได้รับผลกระทบทำงานในสภาพแวดล้อมที่ validator หรือ execution client อาจเชื่อมต่อเข้ากับโครงสร้างพื้นฐานภายนอก หากผู้โจมตีสามารถปลอมตัวเป็น endpoint ที่ได้รับความไว้วางใจ บางการตั้งค่าอาจเผชิญความเสี่ยงต่อคำขอ บริการ หรือขั้นตอนการลงนาม การตัดรากความไว้วางใจที่มีปัญหาออกช่วยลดเส้นทางหนึ่งของการปลอมตัวนั้น ทั้งสองโครงการแยกแยะระหว่าง container images กับการติดตั้งแบบ standalone: ผู้ปฏิบัติงานที่ใช้ Java runtime แยกต่างหากอาจต้องอัปเดต runtime นั้น หรือเปลี่ยน trust store ของมันเอง การเปลี่ยนเพียงไฟล์ executable ของ blockchain client อาจไม่สามารถซ่อมแซมสภาพแวดล้อมโดยรอบได้

ทำไมการพัฒนาลักษณะนี้จึงสำคัญต่อตลาดคริปโต

สำหรับตลาด ETH กรณีนี้เป็นเครื่องเตือนว่าความเสี่ยงด้านโครงสร้างพื้นฐานอาจเกิดนอกตัวโปรโตคอล อีเธอเรียมอาจยังผลิตบล็อกต่อไปได้ตามปกติ ขณะที่สภาพแวดล้อมของผู้ปฏิบัติงานเพียงกลุ่มเล็กต้องการการดูแลด้านความปลอดภัยอย่างเร่งด่วน การนำคำเตือนด้าน implementation ไปปนกับข้อผิดพลาดของ consensus ที่ถูกโจมตีแล้วจะเป็นการทำให้เข้าใจผิด คำถามที่เกี่ยวข้องมากขึ้นสำหรับนักลงทุนคือ โครงสร้างพื้นฐานด้านการตรวจสอบมีความหลากหลาย ดูแลอย่างรับผิดชอบ และตอบสนองได้เร็วเพียงใด เมื่อคอมโพเนนต์ซอฟต์แวร์ต้นทางกลายเป็นสิ่งที่ไม่ควรไว้วางใจ การสื่อสารเหตุการณ์ที่ดีเป็นจุดแข็ง ไม่ใช่หลักฐานว่าบล็อกเชนนั้นถูกบุกรุกโดยเนื้อแท้

สถาบันที่อยู่ภายใต้การกำกับดูแลซึ่งประเมินสินทรัพย์ดิจิทัลต้องวางแผนทั้งสำหรับธุรกรรมประสงค์ร้ายและความล้มเหลวเชิงปฏิบัติการทั่วไป กุญแจที่ปลอดภัยอาจใช้งานไม่ได้หลังปัญหาฮาร์ดแวร์ การชำระเงินที่ลงนามถูกต้องอาจยังไปถึงปลายทางผิด และคอมโพเนนต์ซอฟต์แวร์ที่ไว้วางใจอาจถูกบุกรุกในภายหลัง การป้องกันจึงต้องรวมการเข้ารหัสกับธรรมาภิบาล การกู้คืน การตรวจสอบผู้ขาย และการอนุมัติจากมนุษย์ที่ชัดเจน เครื่องมือความปลอดภัยหรือพันธมิตรใหม่อาจปรับปรุงระบบได้เพียงบางส่วน โดยไม่กลายเป็นทางออกสำหรับทุกปัญหา การถามให้ชัดว่าภัยคุกคามใดได้รับการแก้ไข มีประโยชน์กว่าการประกาศว่าเทคโนโลยีนั้นปลอดภัยหรือไม่ปลอดภัย

ความปลอดภัยของคริปโตเคอร์เรนซีไม่ใช่ปัญหาเดียว การปกป้อง private key สิทธิ์ของบัญชี การเข้าถึงข้อมูลของผู้ขาย และความไว้วางใจที่มอบให้โครงสร้างพื้นฐานภายนอก ล้วนสร้างเส้นทางแยกต่างหากไปสู่ความสูญเสียหรือความหยุดชะงัก บล็อกเชนอาจทำงานถูกต้องได้ ขณะที่ wallet พาร์ทเนอร์ของ exchange หรือ runtime ของซอฟต์แวร์ยังเปิดความเสี่ยงที่หลีกเลี่ยงได้ให้ผู้ใช้ การรายงานควรระบุชั้นที่ได้รับผลกระทบและการควบคุมที่มีอยู่เพื่อจำกัดความเสียหาย ถ้อยคำกว้างๆ ว่าเงินปลอดภัยหรือมีแพตช์แล้วนั้นเป็นประโยชน์ แต่ผู้อ่านที่เข้าใจเรื่องยังต้องรู้ขอบเขตของการรับประกันเหล่านั้น

สิ่งที่พาดหัวไม่ได้ระบุ

คำแนะนำด้านความปลอดภัยสำคัญกว่าการตีความแบบตื่นตระหนก การมีอยู่ของ certificate chain ที่อาจถูกใช้โจมตีไม่พิสูจน์ว่าผู้ปฏิบัติงานทุกรายได้รับผลกระทบ หรือ validator rewards ถูกขโมย รายการเผยแพร่ให้ขั้นตอนแก้ไขเฉพาะเจาะจงและคำเตือนด้านการตั้งค่า ผู้ใช้ที่จ้างบริการโหนดภายนอกควรตรวจสอบการตอบสนองของผู้ให้บริการ แทนที่จะสมมติว่าทุกบริการระยะไกลได้รับการแพตช์แล้ว ผู้ปฏิบัติงานยังควรพิจารณาการควบคุมอื่นรอบ external signer การเชื่อมต่อเครือข่าย และนโยบายธุรกรรม ความปลอดภัยของ supply chain เป็นข้อกำหนดการบำรุงรักษาต่อเนื่อง ไม่ใช่เพียงเลขเวอร์ชันซอฟต์แวร์ครั้งเดียว

สิ่งที่ต้องติดตามต่อ

ผู้ปฏิบัติงานควรตรวจสอบรายการเผยแพร่ปัจจุบันของ Teku และ Besu ยืนยันว่าใช้ runtime และวิธี deploy ใด และติดตาม advisories อย่างเป็นทางการ หมุดหมายสาธารณะถัดไปคือการยืนยันว่าการตั้งค่าที่มีความเสี่ยงได้ถูกอัปเดตแล้ว ไม่ใช่ประมาณการเชิงเก็งกำไรของความสูญเสียทั้งเครือข่าย

ที่มาของข้อมูล

แหล่งข้อมูลหลัก: แถลงการณ์อย่างเป็นทางการ หรือเอกสารแหล่งข้อมูล
แหล่งเพิ่มเติม: เอกสารประกอบ 1
เขียนโดย News Desk และแก้ไขโดย Samuel Rae