Teku وBesu يصلحان خطراً مرتبطاً بشهادات ضعيفة
📋 ملخص
أصدر Teku وBesu تحديثات للتوقف عن الوثوق بالشهادات المرتبطة بـ eMudhra، بعد اكتشاف مفاتيح تشفير ضعيفة. اقتصر الخطر على إعدادات محددة لدى مشغّلي Ethereum؛ ولم تتأثر العُقد الافتراضية للشبكة الرئيسية، ولا توجد تقارير علنية عن استغلال.
أصدر عميلَا Ethereum، Teku وBesu، إصلاحات أمنية بعد اعتبار المفاتيح الخاصة لثماني سلطات تصديق وسيطة تابعة للشركة الهندية eMudhra مخترقة. ويزيل الإصداران Teku 26.10.3 وBesu 26.10.2 من صور Docker الخاصة بهما الثقة بجذور التصديق المرتبطة بالحادثة.
لم تؤثر المشكلة في بروتوكول Ethereum، ولم تعرّض جميع المدقّقين للخطر. وكان التعرض للخطر يعتمد على اجتماع ظروف محددة: استمرار البرنامج في الوثوق بالشهادات المتأثرة، ووجود اتصال HTTPS عرضة للاعتراض، واستخدام المشغّل خدمات خارجية. ووفقاً للمعلومات التي نشرها المطورون، لا تتطلب عُقد Teku الافتراضية على الشبكة الرئيسية أي إجراء، ولا توجد حالات استغلال معروفة.
كيف وصل خلل خارج Ethereum إلى المدقّقين
تُستخدم شهادات TLS لإثبات أن البرنامج يتواصل مع الخادم الصحيح عبر اتصال مشفّر. وفي حالة eMudhra، أدى خطأ في عملية إنشاء الشهادات إلى إنتاج مفاتيح خاصة ضعيفة لثماني شهادات وسيطة. وأقرت الشركة بالخلل، وقالت إنها ألغت الشهادات خلال 14 ساعة من تأكيد الحادثة، وأضافت أنها لم تعثر على أي اختراق لبيانات العملاء.
يظهر الخطر عندما يواصل برنامج قبول سلسلة ثقة مرتبطة بهذه المفاتيح. إذ يمكن لمهاجم قادر على التمركز في مسار الاتصال أن يقدم شهادة مزورة وينتحل صفة خدمة مشروعة. وهذا يختلف عن سرقة مفتاح مدقّق مباشرةً أو استغلال ثغرة في إجماع Ethereum.
📋 ملخص
أصدر Teku وBesu تحديثات للتوقف عن الوثوق بالشهادات المرتبطة بـ eMudhra، بعد اكتشاف مفاتيح تشفير ضعيفة. اقتصر الخطر على إعدادات محددة لدى مشغّلي Ethereum؛ ولم تتأثر العُقد الافتراضية للشبكة الرئيسية، ولا توجد تقارير علنية عن استغلال.
أصدر عميلَا Ethereum، Teku وBesu، إصلاحات أمنية بعد اعتبار المفاتيح الخاصة لثماني سلطات تصديق وسيطة تابعة للشركة الهندية eMudhra مخترقة. ويزيل الإصداران Teku 26.10.3 وBesu 26.10.2 من صور Docker الخاصة بهما الثقة بجذور التصديق المرتبطة بالحادثة.
لم تؤثر المشكلة في بروتوكول Ethereum، ولم تعرّض جميع المدقّقين للخطر. وكان التعرض للخطر يعتمد على اجتماع ظروف محددة: استمرار البرنامج في الوثوق بالشهادات المتأثرة، ووجود اتصال HTTPS عرضة للاعتراض، واستخدام المشغّل خدمات خارجية. ووفقاً للمعلومات التي نشرها المطورون، لا تتطلب عُقد Teku الافتراضية على الشبكة الرئيسية أي إجراء، ولا توجد حالات استغلال معروفة.
كيف وصل خلل خارج Ethereum إلى المدقّقين
تُستخدم شهادات TLS لإثبات أن البرنامج يتواصل مع الخادم الصحيح عبر اتصال مشفّر. وفي حالة eMudhra، أدى خطأ في عملية إنشاء الشهادات إلى إنتاج مفاتيح خاصة ضعيفة لثماني شهادات وسيطة. وأقرت الشركة بالخلل، وقالت إنها ألغت الشهادات خلال 14 ساعة من تأكيد الحادثة، وأضافت أنها لم تعثر على أي اختراق لبيانات العملاء.
يظهر الخطر عندما يواصل برنامج قبول سلسلة ثقة مرتبطة بهذه المفاتيح. إذ يمكن لمهاجم قادر على التمركز في مسار الاتصال أن يقدم شهادة مزورة وينتحل صفة خدمة مشروعة. وهذا يختلف عن سرقة مفتاح مدقّق مباشرةً أو استغلال ثغرة في إجماع Ethereum.