Teku và Besu khắc phục rủi ro liên quan đến chứng chỉ yếu
📋 Tóm tắt
Teku và Besu đã phát hành bản cập nhật để ngừng tin cậy các chứng chỉ liên quan đến eMudhra sau khi phát hiện khóa mật mã yếu. Rủi ro chỉ tập trung ở một số cấu hình cụ thể của các nhà vận hành Ethereum; các nút mạng chính tiêu chuẩn không bị ảnh hưởng và chưa có ghi nhận công khai nào về việc khai thác lỗ hổng.
Các ứng dụng khách Ethereum Teku và Besu đã phát hành bản vá bảo mật sau khi khóa riêng của tám cơ quan cấp chứng chỉ trung gian thuộc công ty Ấn Độ eMudhra bị xác định là có khả năng đã bị xâm phạm. Các phiên bản Teku 26.10.3 và Besu 26.10.2 loại bỏ khỏi ảnh Docker của chúng việc tin cậy các chứng thư gốc liên quan đến sự cố.
Sự cố không ảnh hưởng đến giao thức Ethereum và cũng không khiến tất cả trình xác thực gặp rủi ro. Mức độ phơi nhiễm phụ thuộc vào một tổ hợp cụ thể: phần mềm vẫn tin cậy các chứng chỉ bị ảnh hưởng, kết nối HTTPS có thể bị chặn giữa đường và các dịch vụ bên ngoài mà nhà vận hành sử dụng. Theo thông tin do các nhà phát triển công bố, các nút Teku tiêu chuẩn trên mạng chính không cần thực hiện hành động nào và chưa ghi nhận trường hợp khai thác nào.
Lỗ hổng bên ngoài Ethereum ảnh hưởng đến các trình xác thực như thế nào
Chứng chỉ TLS dùng để xác minh rằng phần mềm đang giao tiếp với đúng máy chủ qua kết nối được mã hóa. Trong trường hợp của eMudhra, lỗi trong quy trình tạo chứng chỉ đã tạo ra khóa riêng yếu cho tám chứng chỉ trung gian. Công ty thừa nhận sự cố, cho biết đã thu hồi các chứng chỉ trong vòng 14 giờ sau khi xác nhận sự cố và khẳng định không phát hiện dữ liệu khách hàng bị xâm phạm.
Rủi ro phát sinh khi một chương trình tiếp tục chấp nhận chuỗi tin cậy gắn với các khóa này. Kẻ tấn công có thể chen vào luồng kết nối sẽ có khả năng đưa ra chứng chỉ giả mạo và mạo danh một dịch vụ hợp pháp. Điều này khác với việc trực tiếp đánh cắp khóa của trình xác thực hoặc khai thác lỗ hổng trong cơ chế đồng thuận của Ethereum.
📋 Tóm tắt
Teku và Besu đã phát hành bản cập nhật để ngừng tin cậy các chứng chỉ liên quan đến eMudhra sau khi phát hiện khóa mật mã yếu. Rủi ro chỉ tập trung ở một số cấu hình cụ thể của các nhà vận hành Ethereum; các nút mạng chính tiêu chuẩn không bị ảnh hưởng và chưa có ghi nhận công khai nào về việc khai thác lỗ hổng.
Các ứng dụng khách Ethereum Teku và Besu đã phát hành bản vá bảo mật sau khi khóa riêng của tám cơ quan cấp chứng chỉ trung gian thuộc công ty Ấn Độ eMudhra bị xác định là có khả năng đã bị xâm phạm. Các phiên bản Teku 26.10.3 và Besu 26.10.2 loại bỏ khỏi ảnh Docker của chúng việc tin cậy các chứng thư gốc liên quan đến sự cố.
Sự cố không ảnh hưởng đến giao thức Ethereum và cũng không khiến tất cả trình xác thực gặp rủi ro. Mức độ phơi nhiễm phụ thuộc vào một tổ hợp cụ thể: phần mềm vẫn tin cậy các chứng chỉ bị ảnh hưởng, kết nối HTTPS có thể bị chặn giữa đường và các dịch vụ bên ngoài mà nhà vận hành sử dụng. Theo thông tin do các nhà phát triển công bố, các nút Teku tiêu chuẩn trên mạng chính không cần thực hiện hành động nào và chưa ghi nhận trường hợp khai thác nào.
Lỗ hổng bên ngoài Ethereum ảnh hưởng đến các trình xác thực như thế nào
Chứng chỉ TLS dùng để xác minh rằng phần mềm đang giao tiếp với đúng máy chủ qua kết nối được mã hóa. Trong trường hợp của eMudhra, lỗi trong quy trình tạo chứng chỉ đã tạo ra khóa riêng yếu cho tám chứng chỉ trung gian. Công ty thừa nhận sự cố, cho biết đã thu hồi các chứng chỉ trong vòng 14 giờ sau khi xác nhận sự cố và khẳng định không phát hiện dữ liệu khách hàng bị xâm phạm.
Rủi ro phát sinh khi một chương trình tiếp tục chấp nhận chuỗi tin cậy gắn với các khóa này. Kẻ tấn công có thể chen vào luồng kết nối sẽ có khả năng đưa ra chứng chỉ giả mạo và mạo danh một dịch vụ hợp pháp. Điều này khác với việc trực tiếp đánh cắp khóa của trình xác thực hoặc khai thác lỗ hổng trong cơ chế đồng thuận của Ethereum.