كانت العقدة التي تعمل باستمرار في الخلفية تريد، في الأصل، منح خدمة Tor المحلية على الجهاز تصريح مرور «موثوق» فحسب، كي يتمكن العميل المصاحب من الاتصال بسلاسة. لكن اتضح في النهاية أن كل اتصال غريب قادم من الخارج عبر Tor كان يرتدي القبعة نفسها، قبعة «الموثوق». $SOL
يكمن السبب في سطر واحد من الإعدادات. يمنح -whitelist الاتصالات الواقعة ضمن نطاقات عناوين IP المدرجة حصانةً من العقوبة: إذ يمكنها تجاوز بعض بوابات مكافحة الرسائل المزعجة، كما يقل اعتمادها على إجراءات الحد من تسرب الخصوصية. لكن في حالة النظراء القادمين عبر Tor، لا ترى العقدة عنوان النظير الحقيقي، بل ترى عنوان خدمة Tor المحلية على الجهاز. وما إن يقع ذلك العنوان ضمن النطاقات التي تحددها -whitelist، حتى تُعامَل الاتصالات القادمة من الخارج معاملة «أبناء الدار». $XAU
المشكلة تكمن في حزم التوزيع. فقد جمعت عدة جهات إصدار برنامج العقدة مع Tor، وضبطت -whitelist، من دون انتباه، لتشمل نطاق العناوين الذي تقع فيه خدمة Tor. وجاء في الإعلان أن عدد العقد المتأثرة بالآلاف، وأن كل اتصالات Tor الواردة أُدرجت في القائمة البيضاء. أما العقد التي لم تغيّر قط هذا الخيار غير الافتراضي، فلم تُحتسب ضمنها. $ZEC
ما يثير غرابة هذه القضية بالنسبة إلى رأس المال هو أن «الحسابات لا تتطابق». فالثقة في Bitcoin Core ليست بندًا في دفتر الأستاذ يمكن تدقيقه، بل سطرًا في الإعدادات. إعداد افتراضي واحد في حزمة التوزيع وسّع، بصمت، «حدود الثقة» في الشبكة من «العميل المحلي المصاحب» إلى «جميع نظراء Tor المجهولين» — أي منح الأطراف المقابلة التي يتعذر التحقق منها حدًا ائتمانيًا، من دون تسجيله في دفتر حسابات أي جهة. لم تُفقد أموال، ولم تنقسم السلسلة، كما لم يذكر الإعلان أي استغلال فعلي في البرية.
لا تقتصر لامركزية الأمان أبدًا على طبقة الإجماع؛ فهي كامنة في نظافة الإعدادات لدى آلاف المشغّلين، كلٌّ على حدة.
فكيف ينبغي قراءة هذا الخبر؟ من الواضح أن القول إن «Bitcoin Core معطوب» مبالغة. فالبروتوكول يتولى طبقة الإجماع فحسب، أما بقية الأمان فتعتمد على مجموع خيارات الإعداد التي يتخذها عدد لا يحصى من المشغّلين المستقلين. ويمكن لسطر واحد من الإعدادات الافتراضية أن يوسّع بهدوء سطح الثقة في الشبكة بأكملها.
رأي شخصي، ولا يُعد نصيحة استثمارية. الأرباح والخسائر على مسؤوليتك.
#比特币Core披露Tor流量漏洞
يكمن السبب في سطر واحد من الإعدادات. يمنح -whitelist الاتصالات الواقعة ضمن نطاقات عناوين IP المدرجة حصانةً من العقوبة: إذ يمكنها تجاوز بعض بوابات مكافحة الرسائل المزعجة، كما يقل اعتمادها على إجراءات الحد من تسرب الخصوصية. لكن في حالة النظراء القادمين عبر Tor، لا ترى العقدة عنوان النظير الحقيقي، بل ترى عنوان خدمة Tor المحلية على الجهاز. وما إن يقع ذلك العنوان ضمن النطاقات التي تحددها -whitelist، حتى تُعامَل الاتصالات القادمة من الخارج معاملة «أبناء الدار». $XAU
المشكلة تكمن في حزم التوزيع. فقد جمعت عدة جهات إصدار برنامج العقدة مع Tor، وضبطت -whitelist، من دون انتباه، لتشمل نطاق العناوين الذي تقع فيه خدمة Tor. وجاء في الإعلان أن عدد العقد المتأثرة بالآلاف، وأن كل اتصالات Tor الواردة أُدرجت في القائمة البيضاء. أما العقد التي لم تغيّر قط هذا الخيار غير الافتراضي، فلم تُحتسب ضمنها. $ZEC
ما يثير غرابة هذه القضية بالنسبة إلى رأس المال هو أن «الحسابات لا تتطابق». فالثقة في Bitcoin Core ليست بندًا في دفتر الأستاذ يمكن تدقيقه، بل سطرًا في الإعدادات. إعداد افتراضي واحد في حزمة التوزيع وسّع، بصمت، «حدود الثقة» في الشبكة من «العميل المحلي المصاحب» إلى «جميع نظراء Tor المجهولين» — أي منح الأطراف المقابلة التي يتعذر التحقق منها حدًا ائتمانيًا، من دون تسجيله في دفتر حسابات أي جهة. لم تُفقد أموال، ولم تنقسم السلسلة، كما لم يذكر الإعلان أي استغلال فعلي في البرية.
لا تقتصر لامركزية الأمان أبدًا على طبقة الإجماع؛ فهي كامنة في نظافة الإعدادات لدى آلاف المشغّلين، كلٌّ على حدة.
فكيف ينبغي قراءة هذا الخبر؟ من الواضح أن القول إن «Bitcoin Core معطوب» مبالغة. فالبروتوكول يتولى طبقة الإجماع فحسب، أما بقية الأمان فتعتمد على مجموع خيارات الإعداد التي يتخذها عدد لا يحصى من المشغّلين المستقلين. ويمكن لسطر واحد من الإعدادات الافتراضية أن يوسّع بهدوء سطح الثقة في الشبكة بأكملها.
رأي شخصي، ولا يُعد نصيحة استثمارية. الأرباح والخسائر على مسؤوليتك.
#比特币Core披露Tor流量漏洞
