#btc
Закрытые ключи 8 промежуточных центров сертификации оказались настолько слабыми, что их можно напрямую вычислить по открытым сертификатам
Браузеры уже внесли эти сертификаты в чёрный список, а часть клиентов Ethereum всё ещё им доверяет
📣 盘面异动群里喊
17 октября исследователи безопасности обнаружили у индийского центра сертификации eMudhra уязвимость, связанную с генерацией случайных чисел
Проблема возникла на этапе генерации ключей: случайности было недостаточно, и закрытый ключ фактически можно было вычислить по открытому
Получив эти 8 закрытых ключей, можно подписать сертификат, который ПО без обновлений сочтёт подлинным
Производители браузеров среагировали первыми. На следующий день eMudhra отозвал эти промежуточные сертификаты и объявил об уходе с рынка сертификации
Главная ловушка — в Java
По умолчанию Java не проверяет, отозван ли сертификат
Поэтому готовые Docker-образы Teku продолжали доверять этим сертификатам, даже после того, как браузеры внесли их в чёрный список
Во вторник Teku выпустил новую версию, в понедельник — Besu. Оба исключили eMudhra из списка доверенных 🔐
Цепочка атаки короткая
Узел, который может вклиниться между валидатором и сервисом, к которому тот подключается, способен выдать себя за этот сервис
Обманутый валидатор может предложить блок и отправить комиссию на адрес атакующего
Ещё опаснее поддельный внешний сервис подписи: у него есть полномочия подписывать изменение адреса для получения вознаграждений 💥
Teku относит этот сценарий к категории наивысшего риска
Важно уточнить: узлы Teku в основной сети с настройками по умолчанию не затронуты, и никаких действий от их владельцев не требуется
На данный момент сообщений о реальной эксплуатации уязвимости нет. Первой о проблеме сообщила Consensys Diligence
Но тем, кто запускает клиент напрямую, придётся кое-что сделать
Одного обновления ПО Ethereum недостаточно: список доверенных сертификатов в Java не обновится сам
Новый Docker-образ тоже не исправит Java на хост-системе
Тем, кто всё ещё использует Java 26, будет сложнее: эта версия больше не поддерживается и патчей для неё нет — придётся перейти на Java 25 ⚠️
На мой взгляд, эта история обнажила уязвимость не в уровне консенсуса Ethereum, а в старом интернет-стеке, которому уже больше двадцати лет
Центры сертификации, генерация случайных чисел, настройки Java по умолчанию
Достаточно сбоя в любом звене — и даже самая надёжная блокчейн-сеть может быть обойдена с фланга 🦖
Обычным держателям криптовалюты паниковать не нужно
А тем, кто занимается стейкингом и самостоятельно запускает узлы, это напоминание: кто именно обслуживает ваш список доверенных сертификатов?
Текущая цена ETH — около 2309 долларов, за день он упал на 2%. BTC — около 79830 долларов, снижение за день составило 1,41%
Рынок падает. Устранение подобных проблем инфраструктуры вряд ли отразится на цене в краткосрочной перспективе, но рано или поздно рынок это учтёт
Обсудим в комментариях: есть ли среди ваших знакомых те, кто запускает собственные узлы? Когда они в последний раз обновляли Java?
Каждый день рассказываем о главных событиях в сфере криптобезопасности: не просто следим за новостями, но и помогаем понять скрытую логику и возможности 👀🚀
Закрытые ключи 8 промежуточных центров сертификации оказались настолько слабыми, что их можно напрямую вычислить по открытым сертификатам
Браузеры уже внесли эти сертификаты в чёрный список, а часть клиентов Ethereum всё ещё им доверяет
📣 盘面异动群里喊
17 октября исследователи безопасности обнаружили у индийского центра сертификации eMudhra уязвимость, связанную с генерацией случайных чисел
Проблема возникла на этапе генерации ключей: случайности было недостаточно, и закрытый ключ фактически можно было вычислить по открытому
Получив эти 8 закрытых ключей, можно подписать сертификат, который ПО без обновлений сочтёт подлинным
Производители браузеров среагировали первыми. На следующий день eMudhra отозвал эти промежуточные сертификаты и объявил об уходе с рынка сертификации
Главная ловушка — в Java
По умолчанию Java не проверяет, отозван ли сертификат
Поэтому готовые Docker-образы Teku продолжали доверять этим сертификатам, даже после того, как браузеры внесли их в чёрный список
Во вторник Teku выпустил новую версию, в понедельник — Besu. Оба исключили eMudhra из списка доверенных 🔐
Цепочка атаки короткая
Узел, который может вклиниться между валидатором и сервисом, к которому тот подключается, способен выдать себя за этот сервис
Обманутый валидатор может предложить блок и отправить комиссию на адрес атакующего
Ещё опаснее поддельный внешний сервис подписи: у него есть полномочия подписывать изменение адреса для получения вознаграждений 💥
Teku относит этот сценарий к категории наивысшего риска
Важно уточнить: узлы Teku в основной сети с настройками по умолчанию не затронуты, и никаких действий от их владельцев не требуется
На данный момент сообщений о реальной эксплуатации уязвимости нет. Первой о проблеме сообщила Consensys Diligence
Но тем, кто запускает клиент напрямую, придётся кое-что сделать
Одного обновления ПО Ethereum недостаточно: список доверенных сертификатов в Java не обновится сам
Новый Docker-образ тоже не исправит Java на хост-системе
Тем, кто всё ещё использует Java 26, будет сложнее: эта версия больше не поддерживается и патчей для неё нет — придётся перейти на Java 25 ⚠️
На мой взгляд, эта история обнажила уязвимость не в уровне консенсуса Ethereum, а в старом интернет-стеке, которому уже больше двадцати лет
Центры сертификации, генерация случайных чисел, настройки Java по умолчанию
Достаточно сбоя в любом звене — и даже самая надёжная блокчейн-сеть может быть обойдена с фланга 🦖
Обычным держателям криптовалюты паниковать не нужно
А тем, кто занимается стейкингом и самостоятельно запускает узлы, это напоминание: кто именно обслуживает ваш список доверенных сертификатов?
Текущая цена ETH — около 2309 долларов, за день он упал на 2%. BTC — около 79830 долларов, снижение за день составило 1,41%
Рынок падает. Устранение подобных проблем инфраструктуры вряд ли отразится на цене в краткосрочной перспективе, но рано или поздно рынок это учтёт
Обсудим в комментариях: есть ли среди ваших знакомых те, кто запускает собственные узлы? Когда они в последний раз обновляли Java?
Каждый день рассказываем о главных событиях в сфере криптобезопасности: не просто следим за новостями, но и помогаем понять скрытую логику и возможности 👀🚀