#btc
Les clés privées de 8 autorités de certification intermédiaires étaient si faibles qu’on pouvait les calculer directement à partir de certificats publics
Les navigateurs ont d’abord blacklisté ces certificats, mais certains clients Ethereum continuent de leur faire confiance
📣 盘面异动群里喊
Le 17 octobre, des chercheurs en sécurité ont découvert cette faille de génération de nombres aléatoires chez eMudhra, une autorité de certification indienne
Le problème se situait au moment de la génération des clés : l’aléatoire était insuffisant, et la clé privée revenait à la moitié d’une valeur publique
Quiconque obtenait ces 8 clés privées pouvait signer un certificat qu’un logiciel non mis à jour aurait considéré comme authentique
Les éditeurs de navigateurs ont réagi les premiers. Le lendemain, eMudhra a révoqué ces certificats intermédiaires et annoncé son retrait du secteur des certificats
Le vrai piège, c’est Java
Par défaut, Java ne vérifie pas si un certificat a été révoqué
Résultat : les images Docker préconfigurées de Teku continuaient de faire confiance à ces certificats après leur mise sur liste noire par les navigateurs
Teku a publié une nouvelle version mardi, Besu lundi : tous deux ont retiré eMudhra de leur liste de confiance 🔐
Le scénario d’attaque est simple
Un nœud capable de s’interposer entre un validateur et le service auquel il se connecte peut usurper l’identité de ce service
Un validateur dupé pourrait produire un bloc et verser les frais à l’adresse de l’attaquant
Plus inquiétant encore : un faux service de signature externe pourrait détenir le pouvoir de signer une modification de l’adresse de réception des récompenses 💥
Teku classe ce scénario parmi les risques les plus élevés
Il faut préciser que les nœuds Teku du réseau principal utilisant la configuration par défaut ne sont pas concernés et n’ont aucune action à effectuer
Aucun cas d’exploitation réelle n’a été signalé à ce jour. La faille a d’abord été rapportée par Consensys Diligence
Mais ceux qui exécutent eux-mêmes un client sans conteneur ont du travail
Mettre à jour le logiciel Ethereum ne suffit pas : la liste de confiance de Java ne sera pas modifiée automatiquement
Une nouvelle image Docker ne corrigera pas non plus Java sur la machine hôte
C’est encore plus compliqué pour ceux qui utilisent Java 26 : cette version n’est plus prise en charge et ne recevra aucun correctif. Il faut passer à Java 25 ⚠️
À mon avis, cette affaire n’a pas révélé une faille dans la couche de consensus d’Ethereum, mais dans la vieille infrastructure Internet qui la sous-tend depuis plus de vingt ans
Les autorités de certification, les nombres aléatoires, le comportement par défaut de Java
Il suffit qu’un maillon soit défaillant pour contourner une blockchain, aussi robuste soit-elle 🦖
Les détenteurs ordinaires n’ont pas à s’inquiéter
Pour ceux qui font du staking ou gèrent leur propre nœud, c’est un rappel : qui entretient réellement votre liste de confiance ?
ETH s’échange actuellement autour de 2 309 dollars, en baisse de 2 % sur la journée. BTC tourne autour de 79 830 dollars, en baisse de 1,41 %
Le marché est en baisse. À court terme, les correctifs de ce type d’infrastructure ne seront pas pris en compte dans les cours, mais tôt ou tard, ils le seront
Dites-nous en commentaire : connaissez-vous des personnes qui gèrent leur propre nœud ? Quand ont-elles mis Java à jour pour la dernière fois ?
Chaque jour, suivez avec nous l’actualité brûlante de la sécurité crypto. Au-delà des faits, nous vous aidons à comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀
Les clés privées de 8 autorités de certification intermédiaires étaient si faibles qu’on pouvait les calculer directement à partir de certificats publics
Les navigateurs ont d’abord blacklisté ces certificats, mais certains clients Ethereum continuent de leur faire confiance
📣 盘面异动群里喊
Le 17 octobre, des chercheurs en sécurité ont découvert cette faille de génération de nombres aléatoires chez eMudhra, une autorité de certification indienne
Le problème se situait au moment de la génération des clés : l’aléatoire était insuffisant, et la clé privée revenait à la moitié d’une valeur publique
Quiconque obtenait ces 8 clés privées pouvait signer un certificat qu’un logiciel non mis à jour aurait considéré comme authentique
Les éditeurs de navigateurs ont réagi les premiers. Le lendemain, eMudhra a révoqué ces certificats intermédiaires et annoncé son retrait du secteur des certificats
Le vrai piège, c’est Java
Par défaut, Java ne vérifie pas si un certificat a été révoqué
Résultat : les images Docker préconfigurées de Teku continuaient de faire confiance à ces certificats après leur mise sur liste noire par les navigateurs
Teku a publié une nouvelle version mardi, Besu lundi : tous deux ont retiré eMudhra de leur liste de confiance 🔐
Le scénario d’attaque est simple
Un nœud capable de s’interposer entre un validateur et le service auquel il se connecte peut usurper l’identité de ce service
Un validateur dupé pourrait produire un bloc et verser les frais à l’adresse de l’attaquant
Plus inquiétant encore : un faux service de signature externe pourrait détenir le pouvoir de signer une modification de l’adresse de réception des récompenses 💥
Teku classe ce scénario parmi les risques les plus élevés
Il faut préciser que les nœuds Teku du réseau principal utilisant la configuration par défaut ne sont pas concernés et n’ont aucune action à effectuer
Aucun cas d’exploitation réelle n’a été signalé à ce jour. La faille a d’abord été rapportée par Consensys Diligence
Mais ceux qui exécutent eux-mêmes un client sans conteneur ont du travail
Mettre à jour le logiciel Ethereum ne suffit pas : la liste de confiance de Java ne sera pas modifiée automatiquement
Une nouvelle image Docker ne corrigera pas non plus Java sur la machine hôte
C’est encore plus compliqué pour ceux qui utilisent Java 26 : cette version n’est plus prise en charge et ne recevra aucun correctif. Il faut passer à Java 25 ⚠️
À mon avis, cette affaire n’a pas révélé une faille dans la couche de consensus d’Ethereum, mais dans la vieille infrastructure Internet qui la sous-tend depuis plus de vingt ans
Les autorités de certification, les nombres aléatoires, le comportement par défaut de Java
Il suffit qu’un maillon soit défaillant pour contourner une blockchain, aussi robuste soit-elle 🦖
Les détenteurs ordinaires n’ont pas à s’inquiéter
Pour ceux qui font du staking ou gèrent leur propre nœud, c’est un rappel : qui entretient réellement votre liste de confiance ?
ETH s’échange actuellement autour de 2 309 dollars, en baisse de 2 % sur la journée. BTC tourne autour de 79 830 dollars, en baisse de 1,41 %
Le marché est en baisse. À court terme, les correctifs de ce type d’infrastructure ne seront pas pris en compte dans les cours, mais tôt ou tard, ils le seront
Dites-nous en commentaire : connaissez-vous des personnes qui gèrent leur propre nœud ? Quand ont-elles mis Java à jour pour la dernière fois ?
Chaque jour, suivez avec nous l’actualité brûlante de la sécurité crypto. Au-delà des faits, nous vous aidons à comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀