Nút chạy liên tục ở máy chủ phía sau vốn chỉ định cấp một tấm thẻ thông hành «đáng tin cậy» cho tiến trình nền Tor trên máy để ứng dụng khách đi kèm có thể kết nối trơn tru. Không ngờ cuối cùng, mọi kết nối lạ từ bên ngoài mò vào qua Tor cũng đội chung chiếc mũ «đáng tin cậy» ấy. $SOL
Gốc rễ nằm ở một dòng cấu hình. -whitelist cấp đặc quyền miễn trừ cho các dải IP: kết nối nằm trong danh sách có thể bỏ qua một số lớp kiểm soát chống thư rác, đồng thời ít được áp dụng các biện pháp giảm thiểu rò rỉ quyền riêng tư hơn. Nhưng với các nút ngang hàng đến qua Tor, nút không nhìn thấy danh tính thật của đối phương mà chỉ thấy địa chỉ của tiến trình nền trên máy mình. Một khi địa chỉ đó rơi vào dải mà -whitelist chỉ định, các kết nối từ bên ngoài sẽ được hưởng đãi ngộ «người nhà». $XAU
Rắc rối nằm ở khâu đóng gói. Một số nhà phát hành phân phối phần mềm nút kèm Tor, đồng thời đặt -whitelist bao trùm cả dải địa chỉ của tiến trình nền. Thông báo cho biết có hàng nghìn nút bị ảnh hưởng, trong đó mọi kết nối Tor đến đều được thêm vào danh sách trắng. Các nút chưa từng đụng đến tùy chọn không mặc định này thì không bị tính vào. $ZEC
Với giới tài chính, điều kỳ lạ của vụ việc này là «không thể hạch toán rõ ràng». Trong Bitcoin Core, sự tin cậy không phải một mục trên sổ cái có thể kiểm toán, mà chỉ là một dòng cấu hình. Một thiết lập mặc định trong gói phần mềm đã âm thầm mở rộng «ranh giới tin cậy» của mạng từ «ứng dụng khách đi kèm chạy trên máy cục bộ» sang «tất cả các nút ngang hàng Tor ẩn danh» — chẳng khác nào cấp hạn mức tín dụng cho đối tác không thể xác minh, nhưng lại không ghi vào sổ sách của ai cả. Không mất tiền, không có đợt phân tách chuỗi, và thông báo cũng không đề cập đến bất kỳ vụ khai thác nào ngoài thực tế.
An ninh phi tập trung chưa bao giờ chỉ nằm ở tầng đồng thuận; nó còn ẩn trong cách hàng nghìn nhà vận hành tự quản lý vệ sinh cấu hình của mình.
Vậy nên nên hiểu tin này thế nào? Nói «Bitcoin Core bị lỗi» rõ ràng là phóng đại. Giao thức chỉ phụ trách tầng đồng thuận; phần an ninh còn lại là tổng hòa của vô số lựa chọn cấu hình mà từng nhà vận hành độc lập đưa ra. Chỉ một dòng cấu hình mặc định cũng có thể âm thầm nới rộng phạm vi tin cậy của toàn mạng.
Quan điểm cá nhân, không cấu thành lời khuyên đầu tư; tự chịu trách nhiệm với lãi lỗ
#比特币Core披露Tor流量漏洞
Gốc rễ nằm ở một dòng cấu hình. -whitelist cấp đặc quyền miễn trừ cho các dải IP: kết nối nằm trong danh sách có thể bỏ qua một số lớp kiểm soát chống thư rác, đồng thời ít được áp dụng các biện pháp giảm thiểu rò rỉ quyền riêng tư hơn. Nhưng với các nút ngang hàng đến qua Tor, nút không nhìn thấy danh tính thật của đối phương mà chỉ thấy địa chỉ của tiến trình nền trên máy mình. Một khi địa chỉ đó rơi vào dải mà -whitelist chỉ định, các kết nối từ bên ngoài sẽ được hưởng đãi ngộ «người nhà». $XAU
Rắc rối nằm ở khâu đóng gói. Một số nhà phát hành phân phối phần mềm nút kèm Tor, đồng thời đặt -whitelist bao trùm cả dải địa chỉ của tiến trình nền. Thông báo cho biết có hàng nghìn nút bị ảnh hưởng, trong đó mọi kết nối Tor đến đều được thêm vào danh sách trắng. Các nút chưa từng đụng đến tùy chọn không mặc định này thì không bị tính vào. $ZEC
Với giới tài chính, điều kỳ lạ của vụ việc này là «không thể hạch toán rõ ràng». Trong Bitcoin Core, sự tin cậy không phải một mục trên sổ cái có thể kiểm toán, mà chỉ là một dòng cấu hình. Một thiết lập mặc định trong gói phần mềm đã âm thầm mở rộng «ranh giới tin cậy» của mạng từ «ứng dụng khách đi kèm chạy trên máy cục bộ» sang «tất cả các nút ngang hàng Tor ẩn danh» — chẳng khác nào cấp hạn mức tín dụng cho đối tác không thể xác minh, nhưng lại không ghi vào sổ sách của ai cả. Không mất tiền, không có đợt phân tách chuỗi, và thông báo cũng không đề cập đến bất kỳ vụ khai thác nào ngoài thực tế.
An ninh phi tập trung chưa bao giờ chỉ nằm ở tầng đồng thuận; nó còn ẩn trong cách hàng nghìn nhà vận hành tự quản lý vệ sinh cấu hình của mình.
Vậy nên nên hiểu tin này thế nào? Nói «Bitcoin Core bị lỗi» rõ ràng là phóng đại. Giao thức chỉ phụ trách tầng đồng thuận; phần an ninh còn lại là tổng hòa của vô số lựa chọn cấu hình mà từng nhà vận hành độc lập đưa ra. Chỉ một dòng cấu hình mặc định cũng có thể âm thầm nới rộng phạm vi tin cậy của toàn mạng.
Quan điểm cá nhân, không cấu thành lời khuyên đầu tư; tự chịu trách nhiệm với lãi lỗ
#比特币Core披露Tor流量漏洞
