Die privaten Schlüssel von 8 Zwischen-CAs der indischen Zertifizierungsstelle eMudhra ließen sich aufgrund unzureichender Zufälligkeit bei der Schlüsselgenerierung berechnen. Die Ethereum-Clients Teku und Besu veröffentlichten am 29. Oktober die Versionen 26.10.3 beziehungsweise 26.10.2. Beide entfernen diese Zertifikate aus ihren Docker-Images als vertrauenswürdig.
Der Angriffsweg besteht darin, sich als Server auszugeben, mit dem sich ein Validator verbindet, und den Validator dazu zu bringen, beim Vorschlagen eines Blocks Gebühren in Höhe von $ETH an eine Angreiferadresse zu zahlen. Am größten ist das Risiko bei Verwendung eines externen Signaturdienstes. Teku zufolge sind Mainnet-Knoten mit der Standardkonfiguration nicht betroffen. Bislang gibt es keine Berichte über tatsächliche Ausnutzung.
Das Problem liegt nicht im Client-Code, sondern bei einem Drittanbieterzertifikat, dem der Client standardmäßig vertraut: Ein Problem mit der Schlüsselqualität einer indischen CA kann sich auf die Blockbelohnungen von Validatoren auswirken. Wer Teku oder Besu betreibt, sollte zunächst prüfen, ob die Bereitstellung über Docker erfolgt. Laut den Entwicklern wurde die Schwachstelle nicht ausgenutzt. Als Nächstes sollte man darauf achten, ob jemand meldet, dass seine Auszahlungsadresse geändert wurde.
#以太坊 #Knotensicherheit
Der Angriffsweg besteht darin, sich als Server auszugeben, mit dem sich ein Validator verbindet, und den Validator dazu zu bringen, beim Vorschlagen eines Blocks Gebühren in Höhe von $ETH an eine Angreiferadresse zu zahlen. Am größten ist das Risiko bei Verwendung eines externen Signaturdienstes. Teku zufolge sind Mainnet-Knoten mit der Standardkonfiguration nicht betroffen. Bislang gibt es keine Berichte über tatsächliche Ausnutzung.
Das Problem liegt nicht im Client-Code, sondern bei einem Drittanbieterzertifikat, dem der Client standardmäßig vertraut: Ein Problem mit der Schlüsselqualität einer indischen CA kann sich auf die Blockbelohnungen von Validatoren auswirken. Wer Teku oder Besu betreibt, sollte zunächst prüfen, ob die Bereitstellung über Docker erfolgt. Laut den Entwicklern wurde die Schwachstelle nicht ausgenutzt. Als Nächstes sollte man darauf achten, ob jemand meldet, dass seine Auszahlungsadresse geändert wurde.
#以太坊 #Knotensicherheit