#ETH

インドの認証局でのセキュリティ不備がイーサリアムに波及、開発者が修正を急ぐ

インドの認証会社で暗号技術上のミスがあり、その影響がイーサリアムに及んだ。攻撃者が一部のバリデーターのブロック報酬を密かに自分たちへ送金できる可能性があった。

イーサリアムのプルーフ・オブ・ステーク側を動かすために多くのバリデーターが使うソフトウェア「Teku」は火曜日、バージョン26.10.3をリリースした。イーサリアムの取引を処理する「Besu」は月曜日、バージョン26.10.2をリリースした。両方のアップデートでは、多くの運用者が利用しているパッケージ済みのDockerイメージから、インドの認証局eMudhraに関連する証明書を信頼しないように変更された。

バリデーターとは、イーサリアムを保護し、ブロックを提案して手数料を得るためにETHをステーキングするコンピューターのことだ。その一部はインターネット経由でほかのサービスと通信しており、接続先が正しいことを確認するためにデジタル証明書に依存している。

何が問題だったのか
10月17日、研究者らは、eMudhraの中間認証局8社の秘密鍵が、乱数の不足した状態で生成されていたことを発見した。

そのため、公開されている証明書から鍵を割り出すことが可能だった。この鍵を持つ者なら誰でも、修正されていないソフトウェアが本物として受け入れる証明書を発行できた。ブラウザーはこれらの証明書をブロックし、eMudhraは翌日に証明書を失効させた。同社はその後、認証事業から撤退すると表明している。#Write2Earn $ETH