#btc
8つの中間認証局の秘密鍵が、公開証明書から直接計算できてしまうほど弱かった
ブラウザはまずこれらの証明書をブロックしたが、イーサリアムの一部クライアントは信頼し続けていた
📣 盘面异动群里喊
10月17日、セキュリティ研究者がインドの認証局 eMudhra に乱数の欠陥を発見した
問題は鍵の生成段階にあり、乱数が不十分だったため、秘密鍵は公開値の半分も知られているような状態だった
この8つの秘密鍵を手に入れれば、未修正のソフトウェアが本物と見なす証明書を発行できてしまう
まずブラウザ各社が対処し、その翌日、eMudhraはこれらの中間証明書を失効させ、認証事業からの撤退を発表した
本当の落とし穴はJavaにあった
Javaはデフォルトでは証明書が失効しているかどうかを確認しない
そのため、Tekuのビルド済みDockerイメージは、ブラウザがブロックした後もこれらの証明書を信頼し続けていた
Tekuは火曜日に、Besuは月曜日に新バージョンをリリースし、どちらも信頼リストから eMudhra を削除した 🔐
攻撃の手順は複雑ではない
バリデーターと接続先サービスの間に割り込めるノードがあれば、そのサービスになりすませる
だまされたバリデーターがブロックを生成し、手数料を攻撃者のアドレスに送ってしまう可能性がある
さらに厄介なのは、偽の外部署名サービスだ。報酬の受取アドレスを変更する署名権限を持っている 💥
Tekuはこのケースを最も高いリスクに分類している
明確にしておくと、デフォルト設定のメインネットTekuノードは影響を受けず、何もする必要はない
現時点で実際に悪用されたという報告はない。この問題を最初に報告したのは Consensys Diligence だ
ただし、クライアントを自分で直接実行している人は対応が必要だ
イーサリアムのソフトウェアをアップグレードするだけでは不十分で、Javaの信頼リストは自動では更新されない
新しいDockerイメージにしても、ホスト上のJavaは修正されない
Java 26を使い続けている人はさらに厄介だ。このバージョンはすでにサポートが終了しており、パッチもないため、Java 25にアップグレードするしかない ⚠️
私の見立てでは、今回明らかになったのはイーサリアムのコンセンサス層ではなく、その土台にある20年以上前から使われているインターネットのレガシー技術だ
認証局、乱数、Javaのデフォルト動作
どこか一つでも脆弱なら、オンチェーンがどれだけ堅牢でも、脇から回り込まれてしまう 🦖
一般の保有者は、これについて心配する必要はない
ステーキングをしている人や自分でノードを運用している人にとっては、信頼リストを誰が管理しているのかを考えるきっかけになる
ETHの現在価格は約2309ドル、24時間で2％下落。BTCは約79830ドル、24時間で1.41％下落
市場全体が下落しているなか、こうしたインフラの修正は短期的には価格に織り込まれないだろうが、いずれは織り込まれる
コメント欄で教えてください。身近に自分でノードを運用している人はいますか？その人が最後にJavaを更新したのはいつですか？
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にあるロジックやチャンスも読み解きます 👀🚀
8つの中間認証局の秘密鍵が、公開証明書から直接計算できてしまうほど弱かった
ブラウザはまずこれらの証明書をブロックしたが、イーサリアムの一部クライアントは信頼し続けていた
📣 盘面异动群里喊
10月17日、セキュリティ研究者がインドの認証局 eMudhra に乱数の欠陥を発見した
問題は鍵の生成段階にあり、乱数が不十分だったため、秘密鍵は公開値の半分も知られているような状態だった
この8つの秘密鍵を手に入れれば、未修正のソフトウェアが本物と見なす証明書を発行できてしまう
まずブラウザ各社が対処し、その翌日、eMudhraはこれらの中間証明書を失効させ、認証事業からの撤退を発表した
本当の落とし穴はJavaにあった
Javaはデフォルトでは証明書が失効しているかどうかを確認しない
そのため、Tekuのビルド済みDockerイメージは、ブラウザがブロックした後もこれらの証明書を信頼し続けていた
Tekuは火曜日に、Besuは月曜日に新バージョンをリリースし、どちらも信頼リストから eMudhra を削除した 🔐
攻撃の手順は複雑ではない
バリデーターと接続先サービスの間に割り込めるノードがあれば、そのサービスになりすませる
だまされたバリデーターがブロックを生成し、手数料を攻撃者のアドレスに送ってしまう可能性がある
さらに厄介なのは、偽の外部署名サービスだ。報酬の受取アドレスを変更する署名権限を持っている 💥
Tekuはこのケースを最も高いリスクに分類している
明確にしておくと、デフォルト設定のメインネットTekuノードは影響を受けず、何もする必要はない
現時点で実際に悪用されたという報告はない。この問題を最初に報告したのは Consensys Diligence だ
ただし、クライアントを自分で直接実行している人は対応が必要だ
イーサリアムのソフトウェアをアップグレードするだけでは不十分で、Javaの信頼リストは自動では更新されない
新しいDockerイメージにしても、ホスト上のJavaは修正されない
Java 26を使い続けている人はさらに厄介だ。このバージョンはすでにサポートが終了しており、パッチもないため、Java 25にアップグレードするしかない ⚠️
私の見立てでは、今回明らかになったのはイーサリアムのコンセンサス層ではなく、その土台にある20年以上前から使われているインターネットのレガシー技術だ
認証局、乱数、Javaのデフォルト動作
どこか一つでも脆弱なら、オンチェーンがどれだけ堅牢でも、脇から回り込まれてしまう 🦖
一般の保有者は、これについて心配する必要はない
ステーキングをしている人や自分でノードを運用している人にとっては、信頼リストを誰が管理しているのかを考えるきっかけになる
ETHの現在価格は約2309ドル、24時間で2％下落。BTCは約79830ドル、24時間で1.41％下落
市場全体が下落しているなか、こうしたインフラの修正は短期的には価格に織り込まれないだろうが、いずれは織り込まれる
コメント欄で教えてください。身近に自分でノードを運用している人はいますか？その人が最後にJavaを更新したのはいつですか？
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にあるロジックやチャンスも読み解きます 👀🚀