У узла, который всё время работал в фоне, хотели лишь выдать «доверенный» пропуск локальному демону Tor, чтобы связанный с ним клиент мог без проблем подключаться. Но в итоге ту же «доверенную» шапку надело любое внешнее соединение от незнакомцев, заходивших через Tor. $SOL
Причина — в одной строке конфигурации. Параметр -whitelist раздаёт иммунитет целым диапазонам IP-адресов: соединения из списка могут пропускать несколько фильтров против спама и реже попадать под меры по снижению утечек приватной информации. Но для пиров, подключающихся через Tor, узел видит не настоящий адрес собеседника, а адрес локального демона. Если этот адрес попадает в диапазон, указанный в -whitelist, внешние подключения получают статус «своих». $XAU
Проблема возникла при сборке пакетов. Несколько дистрибьюторов поставляли ПО узла вместе с Tor и заодно настроили -whitelist так, чтобы в него входил диапазон адресов демона. В сообщении говорится, что затронуты тысячи узлов: все входящие соединения через Tor получили белый список. Узлы, которые никогда не меняли этот нестандартный параметр, в подсчёт не попали. $ZEC
Для капитала в этом случае странно то, что «учёт не сходится». В Bitcoin Core доверие — не подлежащая аудиту статья в реестре, а строка конфигурации. Одно значение по умолчанию в пакете незаметно расширило «границы доверия» сети с «локального сопутствующего клиента» до «всех анонимных пиров Tor» — это всё равно что открыть кредитную линию непроверяемому контрагенту, но не записать её ни в чей реестр. Деньги не пропали, цепочка не разделилась, и в сообщении не говорится ни об одном случае эксплуатации уязвимости в реальных условиях.
Безопасность децентрализованной системы зависит не только от уровня консенсуса: она скрыта и в том, насколько тщательно тысячи операторов настраивают свои узлы.
Так как же следует воспринимать эту новость? Фраза «Bitcoin Core сломан» явно преувеличивает. Протокол отвечает лишь за уровень консенсуса; остальная безопасность — это совокупность решений по настройке, которые принимают бесчисленные независимые операторы. Одна строка конфигурации по умолчанию может незаметно расширить поверхность доверия всей сети.
Личное мнение, не является инвестиционной рекомендацией. Ответственность за прибыль и убытки лежит на вас.
#比特币Core披露Tor流量漏洞
Причина — в одной строке конфигурации. Параметр -whitelist раздаёт иммунитет целым диапазонам IP-адресов: соединения из списка могут пропускать несколько фильтров против спама и реже попадать под меры по снижению утечек приватной информации. Но для пиров, подключающихся через Tor, узел видит не настоящий адрес собеседника, а адрес локального демона. Если этот адрес попадает в диапазон, указанный в -whitelist, внешние подключения получают статус «своих». $XAU
Проблема возникла при сборке пакетов. Несколько дистрибьюторов поставляли ПО узла вместе с Tor и заодно настроили -whitelist так, чтобы в него входил диапазон адресов демона. В сообщении говорится, что затронуты тысячи узлов: все входящие соединения через Tor получили белый список. Узлы, которые никогда не меняли этот нестандартный параметр, в подсчёт не попали. $ZEC
Для капитала в этом случае странно то, что «учёт не сходится». В Bitcoin Core доверие — не подлежащая аудиту статья в реестре, а строка конфигурации. Одно значение по умолчанию в пакете незаметно расширило «границы доверия» сети с «локального сопутствующего клиента» до «всех анонимных пиров Tor» — это всё равно что открыть кредитную линию непроверяемому контрагенту, но не записать её ни в чей реестр. Деньги не пропали, цепочка не разделилась, и в сообщении не говорится ни об одном случае эксплуатации уязвимости в реальных условиях.
Безопасность децентрализованной системы зависит не только от уровня консенсуса: она скрыта и в том, насколько тщательно тысячи операторов настраивают свои узлы.
Так как же следует воспринимать эту новость? Фраза «Bitcoin Core сломан» явно преувеличивает. Протокол отвечает лишь за уровень консенсуса; остальная безопасность — это совокупность решений по настройке, которые принимают бесчисленные независимые операторы. Одна строка конфигурации по умолчанию может незаметно расширить поверхность доверия всей сети.
Личное мнение, не является инвестиционной рекомендацией. Ответственность за прибыль и убытки лежит на вас.
#比特币Core披露Tor流量漏洞
