#btc
Kunci privat milik 8 otoritas sertifikat intermediate begitu lemah hingga bisa dihitung langsung dari sertifikat publik
Browser lebih dulu memblokir sertifikat-sertifikat ini, tetapi sebagian klien Ethereum masih memercayainya
📣 盘面异动群里喊
Pada 17 Oktober, peneliti keamanan menemukan kelemahan angka acak ini pada otoritas sertifikat India, eMudhra
Masalahnya ada pada tahap pembuatan kunci: tingkat keacakannya tidak memadai, sehingga kunci privatnya bisa dihitung dari nilai publik
Siapa pun yang mendapatkan 8 kunci privat ini bisa menerbitkan sertifikat yang akan dianggap sah oleh perangkat lunak yang belum ditambal
Vendor browser bergerak lebih dulu. Sehari kemudian, eMudhra mencabut sertifikat-sertifikat intermediate ini dan mengumumkan akan keluar dari bisnis sertifikat
Masalah sebenarnya ada di Java
Secara default, Java tidak memeriksa apakah sertifikat sudah dicabut
Jadi, image Docker Teku yang sudah dibuat tetap memercayai sertifikat ini setelah browser memblokirnya
Teku merilis versi baru pada Selasa, Besu pada Senin. Keduanya menghapus eMudhra dari daftar kepercayaan 🔐
Jalur serangannya tidak rumit
Sebuah node yang bisa menyusup di antara validator dan layanan yang ingin dihubunginya dapat menyamar sebagai layanan tersebut
Validator yang tertipu mungkin akan mengusulkan sebuah blok dan mengirim biaya transaksi ke alamat milik penyerang
Yang lebih berbahaya adalah layanan penandatanganan eksternal palsu, yang memiliki wewenang penandatanganan untuk mengubah alamat penerima reward 💥
Teku menggolongkan skenario ini sebagai risiko tertinggi
Perlu diperjelas bahwa node Teku mainnet dengan konfigurasi default tidak terdampak dan tidak perlu melakukan apa pun
Sejauh ini belum ada laporan eksploitasi nyata. Masalah ini pertama kali dilaporkan oleh Consensys Diligence
Namun, mereka yang menjalankan klien secara mandiri perlu bertindak
Memperbarui perangkat lunak Ethereum saja tidak cukup; daftar kepercayaan Java tidak ikut berubah
Image Docker baru juga tidak bisa memperbaiki Java di mesin host
Mereka yang masih menggunakan Java 26 menghadapi masalah lebih besar: versi itu sudah tidak didukung dan tidak memiliki patch. Satu-satunya pilihan adalah beralih ke Java 25 ⚠️
Menurut saya, yang terungkap kali ini bukanlah lapisan konsensus Ethereum, melainkan tumpukan teknologi internet lawas berusia lebih dari 20 tahun yang menjadi fondasinya
Otoritas sertifikat, angka acak, perilaku default Java
Jika satu saja mata rantainya lemah, blockchain yang paling kokoh pun bisa dilewati dari samping 🦖
Pemegang aset biasa tidak perlu panik soal ini
Bagi mereka yang melakukan staking dan menjalankan node sendiri, ini adalah pengingat: siapa sebenarnya yang memelihara daftar kepercayaan Anda?
Harga ETH saat ini sekitar 2309 dolar AS, turun 2 poin dalam sehari. BTC sekitar 79830 dolar AS, turun 1,41 poin dalam sehari
Pasar sedang turun. Perbaikan infrastruktur seperti ini mungkin tidak langsung tercermin dalam harga dalam jangka pendek, tetapi cepat atau lambat akan diperhitungkan
Mari bahas di kolom komentar: apakah ada orang di sekitar Anda yang menjalankan node sendiri? Kapan terakhir kali mereka memperbarui Java?
Setiap hari, saya mengajak Anda mengikuti isu-isu hangat seputar keamanan kripto. Bukan sekadar melihat apa yang terjadi dalam berita, tetapi juga memahami logika dan peluang di baliknya 👀🚀
Kunci privat milik 8 otoritas sertifikat intermediate begitu lemah hingga bisa dihitung langsung dari sertifikat publik
Browser lebih dulu memblokir sertifikat-sertifikat ini, tetapi sebagian klien Ethereum masih memercayainya
📣 盘面异动群里喊
Pada 17 Oktober, peneliti keamanan menemukan kelemahan angka acak ini pada otoritas sertifikat India, eMudhra
Masalahnya ada pada tahap pembuatan kunci: tingkat keacakannya tidak memadai, sehingga kunci privatnya bisa dihitung dari nilai publik
Siapa pun yang mendapatkan 8 kunci privat ini bisa menerbitkan sertifikat yang akan dianggap sah oleh perangkat lunak yang belum ditambal
Vendor browser bergerak lebih dulu. Sehari kemudian, eMudhra mencabut sertifikat-sertifikat intermediate ini dan mengumumkan akan keluar dari bisnis sertifikat
Masalah sebenarnya ada di Java
Secara default, Java tidak memeriksa apakah sertifikat sudah dicabut
Jadi, image Docker Teku yang sudah dibuat tetap memercayai sertifikat ini setelah browser memblokirnya
Teku merilis versi baru pada Selasa, Besu pada Senin. Keduanya menghapus eMudhra dari daftar kepercayaan 🔐
Jalur serangannya tidak rumit
Sebuah node yang bisa menyusup di antara validator dan layanan yang ingin dihubunginya dapat menyamar sebagai layanan tersebut
Validator yang tertipu mungkin akan mengusulkan sebuah blok dan mengirim biaya transaksi ke alamat milik penyerang
Yang lebih berbahaya adalah layanan penandatanganan eksternal palsu, yang memiliki wewenang penandatanganan untuk mengubah alamat penerima reward 💥
Teku menggolongkan skenario ini sebagai risiko tertinggi
Perlu diperjelas bahwa node Teku mainnet dengan konfigurasi default tidak terdampak dan tidak perlu melakukan apa pun
Sejauh ini belum ada laporan eksploitasi nyata. Masalah ini pertama kali dilaporkan oleh Consensys Diligence
Namun, mereka yang menjalankan klien secara mandiri perlu bertindak
Memperbarui perangkat lunak Ethereum saja tidak cukup; daftar kepercayaan Java tidak ikut berubah
Image Docker baru juga tidak bisa memperbaiki Java di mesin host
Mereka yang masih menggunakan Java 26 menghadapi masalah lebih besar: versi itu sudah tidak didukung dan tidak memiliki patch. Satu-satunya pilihan adalah beralih ke Java 25 ⚠️
Menurut saya, yang terungkap kali ini bukanlah lapisan konsensus Ethereum, melainkan tumpukan teknologi internet lawas berusia lebih dari 20 tahun yang menjadi fondasinya
Otoritas sertifikat, angka acak, perilaku default Java
Jika satu saja mata rantainya lemah, blockchain yang paling kokoh pun bisa dilewati dari samping 🦖
Pemegang aset biasa tidak perlu panik soal ini
Bagi mereka yang melakukan staking dan menjalankan node sendiri, ini adalah pengingat: siapa sebenarnya yang memelihara daftar kepercayaan Anda?
Harga ETH saat ini sekitar 2309 dolar AS, turun 2 poin dalam sehari. BTC sekitar 79830 dolar AS, turun 1,41 poin dalam sehari
Pasar sedang turun. Perbaikan infrastruktur seperti ini mungkin tidak langsung tercermin dalam harga dalam jangka pendek, tetapi cepat atau lambat akan diperhitungkan
Mari bahas di kolom komentar: apakah ada orang di sekitar Anda yang menjalankan node sendiri? Kapan terakhir kali mereka memperbarui Java?
Setiap hari, saya mengajak Anda mengikuti isu-isu hangat seputar keamanan kripto. Bukan sekadar melihat apa yang terjadi dalam berita, tetapi juga memahami logika dan peluang di baliknya 👀🚀