#btc
المفاتيح الخاصة لثماني سلطات وسيطة لإصدار الشهادات ضعيفة لدرجة أنه يمكن حسابها مباشرةً من الشهادات العامة
المتصفحات أدرجت هذه الشهادات في القائمة السوداء أولاً، لكن بعض عملاء إيثيريوم ما زالوا يثقون بها
📣 盘面异动群里喊
في 17 أكتوبر، اكتشف باحثون أمنيون خللاً في الأرقام العشوائية لدى هيئة إصدار الشهادات الهندية eMudhra
تكمن المشكلة في مرحلة إنشاء المفاتيح: فالعشوائية غير كافية، ما يجعل المفتاح الخاص أشبه بنصف قيمة عامة
من يحصل على هذه المفاتيح الخاصة الثمانية يستطيع توقيع شهادة سيعدّها البرنامج غير المحدّث شهادةً أصلية
تحركت شركات المتصفحات أولاً. وبعد يوم، ألغت eMudhra هذه الشهادات الوسيطة وأعلنت انسحابها من مجال الشهادات
المشكلة الحقيقية تكمن في Java
فإعداد Java الافتراضي لا يتحقق مما إذا كانت الشهادة قد أُلغيت
لذلك ظلت صور Docker الجاهزة من Teku تثق بهذه الشهادات حتى بعد إدراجها في القائمة السوداء لدى المتصفحات
أصدر Teku نسخة جديدة يوم الثلاثاء، وأصدر Besu نسخة جديدة يوم الاثنين، وأزال كلاهما eMudhra من قائمة الثقة 🔐
مسار الهجوم ليس معقداً
فعقدة تتمكن من التسلل بين المدقّق والخدمة التي يريد الاتصال بها تستطيع انتحال صفة تلك الخدمة
وقد يُخدع المدقّق فيقترح كتلةً يحوّل فيها رسوم المعاملات إلى عنوان المهاجم
والأخطر هو خدمة التوقيع الخارجية المزيفة، إذ تملك صلاحية توقيع تغيّر عنوان استلام المكافآت 💥
وصنّف Teku هذا النوع على أنه الأعلى خطورة
من المهم توضيح أن عقد Teku على الشبكة الرئيسية التي تستخدم الإعدادات الافتراضية غير متأثرة، ولا يلزمها اتخاذ أي إجراء
ولا توجد حتى الآن تقارير عن استغلال فعلي، وقد أبلغت Consensys Diligence عن المشكلة أولاً
لكن على من يشغّلون العملاء مباشرةً أن يتخذوا إجراءً
فتحديث برنامج إيثيريوم وحده لا يكفي؛ إذ لن تتغير قائمة الثقة في Java تلقائياً
كما أن صور Docker الجديدة لا تصلح Java الموجودة على النظام المضيف
ومن لا يزالون يستخدمون Java 26 أمامهم مشكلة أكبر: فقد توقف دعم هذا الإصدار ولا توجد له تصحيحات، والحل الوحيد هو الترقية إلى Java 25 ⚠️
في رأيي، ما كشفته هذه الحادثة ليس طبقة الإجماع في إيثيريوم، بل مجموعة تقنيات الإنترنت القديمة التي تقوم عليها، والتي يزيد عمرها على عشرين عاماً
هيئات إصدار الشهادات، والأرقام العشوائية، والسلوك الافتراضي لـ Java
إذا تراخى أي جزء من هذه السلسلة، فحتى لو كانت سلسلة الكتل متينة، يمكن الالتفاف عليها من جانب آخر 🦖
لا داعي للقلق بشأن هذا الأمر بالنسبة إلى حاملي العملات العاديين
أما المشاركون في التخزين والذين يشغّلون عقدهم بأنفسهم، فهذه تذكرة لهم: من المسؤول عن صيانة قائمة الثقة لديكم؟
السعر الحالي لـ ETH نحو 2309 دولارات، بانخفاض 2% خلال يوم. وBTC نحو 79830 دولاراً، بانخفاض 1.41% خلال يوم
السوق بأكمله يتراجع. إصلاحات البنية التحتية من هذا النوع لن تنعكس في الأسعار على المدى القصير، لكنها ستنعكس عاجلاً أم آجلاً
شاركونا في التعليقات: هل تعرفون أشخاصاً يشغّلون عقداً بأنفسهم؟ ومتى حدّثوا Java آخر مرة؟
أتابع معكم يومياً أبرز أخبار أمن العملات المشفرة؛ لا نكتفي بمتابعة ما يحدث، بل نساعدكم على فهم المنطق والفرص الكامنة وراءه 👀🚀
المفاتيح الخاصة لثماني سلطات وسيطة لإصدار الشهادات ضعيفة لدرجة أنه يمكن حسابها مباشرةً من الشهادات العامة
المتصفحات أدرجت هذه الشهادات في القائمة السوداء أولاً، لكن بعض عملاء إيثيريوم ما زالوا يثقون بها
📣 盘面异动群里喊
في 17 أكتوبر، اكتشف باحثون أمنيون خللاً في الأرقام العشوائية لدى هيئة إصدار الشهادات الهندية eMudhra
تكمن المشكلة في مرحلة إنشاء المفاتيح: فالعشوائية غير كافية، ما يجعل المفتاح الخاص أشبه بنصف قيمة عامة
من يحصل على هذه المفاتيح الخاصة الثمانية يستطيع توقيع شهادة سيعدّها البرنامج غير المحدّث شهادةً أصلية
تحركت شركات المتصفحات أولاً. وبعد يوم، ألغت eMudhra هذه الشهادات الوسيطة وأعلنت انسحابها من مجال الشهادات
المشكلة الحقيقية تكمن في Java
فإعداد Java الافتراضي لا يتحقق مما إذا كانت الشهادة قد أُلغيت
لذلك ظلت صور Docker الجاهزة من Teku تثق بهذه الشهادات حتى بعد إدراجها في القائمة السوداء لدى المتصفحات
أصدر Teku نسخة جديدة يوم الثلاثاء، وأصدر Besu نسخة جديدة يوم الاثنين، وأزال كلاهما eMudhra من قائمة الثقة 🔐
مسار الهجوم ليس معقداً
فعقدة تتمكن من التسلل بين المدقّق والخدمة التي يريد الاتصال بها تستطيع انتحال صفة تلك الخدمة
وقد يُخدع المدقّق فيقترح كتلةً يحوّل فيها رسوم المعاملات إلى عنوان المهاجم
والأخطر هو خدمة التوقيع الخارجية المزيفة، إذ تملك صلاحية توقيع تغيّر عنوان استلام المكافآت 💥
وصنّف Teku هذا النوع على أنه الأعلى خطورة
من المهم توضيح أن عقد Teku على الشبكة الرئيسية التي تستخدم الإعدادات الافتراضية غير متأثرة، ولا يلزمها اتخاذ أي إجراء
ولا توجد حتى الآن تقارير عن استغلال فعلي، وقد أبلغت Consensys Diligence عن المشكلة أولاً
لكن على من يشغّلون العملاء مباشرةً أن يتخذوا إجراءً
فتحديث برنامج إيثيريوم وحده لا يكفي؛ إذ لن تتغير قائمة الثقة في Java تلقائياً
كما أن صور Docker الجديدة لا تصلح Java الموجودة على النظام المضيف
ومن لا يزالون يستخدمون Java 26 أمامهم مشكلة أكبر: فقد توقف دعم هذا الإصدار ولا توجد له تصحيحات، والحل الوحيد هو الترقية إلى Java 25 ⚠️
في رأيي، ما كشفته هذه الحادثة ليس طبقة الإجماع في إيثيريوم، بل مجموعة تقنيات الإنترنت القديمة التي تقوم عليها، والتي يزيد عمرها على عشرين عاماً
هيئات إصدار الشهادات، والأرقام العشوائية، والسلوك الافتراضي لـ Java
إذا تراخى أي جزء من هذه السلسلة، فحتى لو كانت سلسلة الكتل متينة، يمكن الالتفاف عليها من جانب آخر 🦖
لا داعي للقلق بشأن هذا الأمر بالنسبة إلى حاملي العملات العاديين
أما المشاركون في التخزين والذين يشغّلون عقدهم بأنفسهم، فهذه تذكرة لهم: من المسؤول عن صيانة قائمة الثقة لديكم؟
السعر الحالي لـ ETH نحو 2309 دولارات، بانخفاض 2% خلال يوم. وBTC نحو 79830 دولاراً، بانخفاض 1.41% خلال يوم
السوق بأكمله يتراجع. إصلاحات البنية التحتية من هذا النوع لن تنعكس في الأسعار على المدى القصير، لكنها ستنعكس عاجلاً أم آجلاً
شاركونا في التعليقات: هل تعرفون أشخاصاً يشغّلون عقداً بأنفسهم؟ ومتى حدّثوا Java آخر مرة؟
أتابع معكم يومياً أبرز أخبار أمن العملات المشفرة؛ لا نكتفي بمتابعة ما يحدث، بل نساعدكم على فهم المنطق والفرص الكامنة وراءه 👀🚀