#btc
Die privaten Schlüssel von 8 Zwischenzertifizierungsstellen waren so schwach, dass sie sich direkt aus öffentlichen Zertifikaten berechnen ließen
Browser setzten diese Zertifikate auf ihre Sperrliste, aber einige Ethereum-Clients vertrauten ihnen weiterhin
📣 盘面异动群里喊
Am 17. Oktober entdeckten Sicherheitsforscher diesen Zufallszahl-Fehler bei der indischen Zertifizierungsstelle eMudhra
Das Problem lag bei der Schlüsselerzeugung: Die Zufälligkeit war unzureichend, der private Schlüssel ließ sich zur Hälfte aus einem öffentlichen Wert ableiten
Wer diese 8 privaten Schlüssel in die Hände bekam, konnte ein Zertifikat ausstellen, das ungepatchte Software für echt hielt
Die Browserhersteller reagierten zuerst. Einen Tag später widerrief eMudhra diese Zwischenzertifikate und kündigte an, aus dem Zertifikatsgeschäft auszusteigen
Die eigentliche Schwachstelle steckt in Java
Java prüft standardmäßig nicht, ob Zertifikate widerrufen wurden
Deshalb vertrauten die fertig gepackten Docker-Images von Teku diesen Zertifikaten auch noch, nachdem die Browser sie auf die Sperrliste gesetzt hatten
Teku veröffentlichte am Dienstag eine neue Version, Besu am Montag. Beide entfernten eMudhra aus ihrer Vertrauensliste 🔐
Der Angriffsweg ist nicht kompliziert
Ein Knoten, der sich zwischen einem Validator und dem Dienst, mit dem er sich verbinden möchte, einklinken kann, kann diesen Dienst imitieren
Ein getäuschter Validator könnte einen Block vorschlagen und die Gebühren an die Adresse des Angreifers überweisen
Noch problematischer sind gefälschte externe Signaturdienste: Sie haben die Signaturberechtigung, mit der sich die Auszahlungsadresse für Belohnungen ändern lässt 💥
Teku stuft dieses Szenario als das risikoreichste ein
Wichtig ist: Teku-Mainnet-Knoten mit Standardkonfiguration sind nicht betroffen und müssen nichts unternehmen
Bislang gibt es keine Berichte über eine tatsächliche Ausnutzung. Das Problem wurde zuerst von Consensys Diligence gemeldet
Wer Clients jedoch direkt auf eigener Hardware betreibt, muss handeln
Ein Upgrade der Ethereum-Software allein reicht nicht: Die Java-Vertrauensliste wird dadurch nicht aktualisiert
Auch neue Docker-Images können das Java auf dem Host-System nicht reparieren
Wer noch Java 26 nutzt, hat ein größeres Problem: Diese Version wird nicht mehr gepflegt und erhält keine Patches. Ein Upgrade auf Java 25 ist die einzige Option ⚠️
Meine Einschätzung: Aufgedeckt wurde diesmal keine Schwäche in der Ethereum-Konsensschicht, sondern im mehr als zwanzig Jahre alten Internet-Unterbau, auf dem sie läuft
Zertifizierungsstellen, Zufallszahlen, Java-Standardeinstellungen
Wenn auch nur eines dieser Glieder nachgibt, kann selbst eine stabile Blockchain von der Seite ausgehebelt werden 🦖
Für gewöhnliche Ether-Halter ist das kein Grund zur Sorge
Für Staker und Betreiber eigener Nodes ist es eine Erinnerung daran, sich zu fragen: Wer pflegt eigentlich deine Vertrauensliste?
Der aktuelle ETH-Kurs liegt bei etwa 2.309 US-Dollar, ein Minus von 2 % in 24 Stunden. BTC liegt bei etwa 79.830 US-Dollar, ein Minus von 1,41 %
Der Gesamtmarkt fällt. Solche Infrastruktur-Patches werden kurzfristig nicht eingepreist, aber früher oder später schon
Schreibt in die Kommentare: Kennt ihr jemanden, der eigene Nodes betreibt? Wann hat diese Person zuletzt Java aktualisiert?
Jeden Tag halten wir euch über wichtige Themen der Krypto-Sicherheit auf dem Laufenden – wir berichten nicht nur, was passiert, sondern erklären auch die Hintergründe und Chancen 👀🚀
Die privaten Schlüssel von 8 Zwischenzertifizierungsstellen waren so schwach, dass sie sich direkt aus öffentlichen Zertifikaten berechnen ließen
Browser setzten diese Zertifikate auf ihre Sperrliste, aber einige Ethereum-Clients vertrauten ihnen weiterhin
📣 盘面异动群里喊
Am 17. Oktober entdeckten Sicherheitsforscher diesen Zufallszahl-Fehler bei der indischen Zertifizierungsstelle eMudhra
Das Problem lag bei der Schlüsselerzeugung: Die Zufälligkeit war unzureichend, der private Schlüssel ließ sich zur Hälfte aus einem öffentlichen Wert ableiten
Wer diese 8 privaten Schlüssel in die Hände bekam, konnte ein Zertifikat ausstellen, das ungepatchte Software für echt hielt
Die Browserhersteller reagierten zuerst. Einen Tag später widerrief eMudhra diese Zwischenzertifikate und kündigte an, aus dem Zertifikatsgeschäft auszusteigen
Die eigentliche Schwachstelle steckt in Java
Java prüft standardmäßig nicht, ob Zertifikate widerrufen wurden
Deshalb vertrauten die fertig gepackten Docker-Images von Teku diesen Zertifikaten auch noch, nachdem die Browser sie auf die Sperrliste gesetzt hatten
Teku veröffentlichte am Dienstag eine neue Version, Besu am Montag. Beide entfernten eMudhra aus ihrer Vertrauensliste 🔐
Der Angriffsweg ist nicht kompliziert
Ein Knoten, der sich zwischen einem Validator und dem Dienst, mit dem er sich verbinden möchte, einklinken kann, kann diesen Dienst imitieren
Ein getäuschter Validator könnte einen Block vorschlagen und die Gebühren an die Adresse des Angreifers überweisen
Noch problematischer sind gefälschte externe Signaturdienste: Sie haben die Signaturberechtigung, mit der sich die Auszahlungsadresse für Belohnungen ändern lässt 💥
Teku stuft dieses Szenario als das risikoreichste ein
Wichtig ist: Teku-Mainnet-Knoten mit Standardkonfiguration sind nicht betroffen und müssen nichts unternehmen
Bislang gibt es keine Berichte über eine tatsächliche Ausnutzung. Das Problem wurde zuerst von Consensys Diligence gemeldet
Wer Clients jedoch direkt auf eigener Hardware betreibt, muss handeln
Ein Upgrade der Ethereum-Software allein reicht nicht: Die Java-Vertrauensliste wird dadurch nicht aktualisiert
Auch neue Docker-Images können das Java auf dem Host-System nicht reparieren
Wer noch Java 26 nutzt, hat ein größeres Problem: Diese Version wird nicht mehr gepflegt und erhält keine Patches. Ein Upgrade auf Java 25 ist die einzige Option ⚠️
Meine Einschätzung: Aufgedeckt wurde diesmal keine Schwäche in der Ethereum-Konsensschicht, sondern im mehr als zwanzig Jahre alten Internet-Unterbau, auf dem sie läuft
Zertifizierungsstellen, Zufallszahlen, Java-Standardeinstellungen
Wenn auch nur eines dieser Glieder nachgibt, kann selbst eine stabile Blockchain von der Seite ausgehebelt werden 🦖
Für gewöhnliche Ether-Halter ist das kein Grund zur Sorge
Für Staker und Betreiber eigener Nodes ist es eine Erinnerung daran, sich zu fragen: Wer pflegt eigentlich deine Vertrauensliste?
Der aktuelle ETH-Kurs liegt bei etwa 2.309 US-Dollar, ein Minus von 2 % in 24 Stunden. BTC liegt bei etwa 79.830 US-Dollar, ein Minus von 1,41 %
Der Gesamtmarkt fällt. Solche Infrastruktur-Patches werden kurzfristig nicht eingepreist, aber früher oder später schon
Schreibt in die Kommentare: Kennt ihr jemanden, der eigene Nodes betreibt? Wann hat diese Person zuletzt Java aktualisiert?
Jeden Tag halten wir euch über wichtige Themen der Krypto-Sicherheit auf dem Laufenden – wir berichten nicht nur, was passiert, sondern erklären auch die Hintergründe und Chancen 👀🚀