Teku ve Besu, 8 eMudhra Sertifikasına Bağlı Ethereum (ETH) Açığını Yamaladı

Teku 26.10.3 ve Besu 26.10.2

Teku'nun geliştiricileri istemcinin 26.10.3 sürümünü Salı günü yayınladı; Besu da Pazartesi günü 26.10.2 ile aynısını yaptı. Her iki güncelleme de Hindistan merkezli eMudhra'ya bağlı sertifikalara duyulan güveni Docker imajlarından çıkardı. Değişiklikler, Teku 26.10.3 ve Besu 26.10.2 için yayımlanan resmi sürüm notlarında kayıt altına alındı. Yamalar, en riskli operatör kurulumlarında bir saldırganın bazı doğrulayıcı ödüllerini sessizce kendi adresine yönlendirmesine izin verebilecek bir yolu kapatıyor. Konsensus kurallarında bir ihlal yaşanmadı ve Teku ekibi kayıtlarında bugüne dek hiçbir sömürü vakası bildirilmediğini belirtiyor.

Doğrulayıcılar, Ethereum'un konsensus mekanizması olarak bilinen hisse kanıtlı zincirini güven altına almak için stake bağlayan bilgisayarlar; blok öneriyorlar ve karşılığında ücret topluyorlar. Bunların bir kısmı internet üzerinden dış servislerle konuşuyor ve karşıdaki servisin gerçek olduğunu doğrulamak için dijital sertifikalara yaslanıyor. Açık tam da bu altyapıda, protokolün kendisinde değil, duruyordu. Ethereum (ETH) fiyatı ele geçirilen sertifikalara hiçbir zaman bağlı değildi; ama doğrulayıcıların kazandığı ücretler ve ödüller etkilenen araçlardan geçiyor.

Araştırmacılar 17 Ekim Cumartesi günü, eMudhra'nın 8 ara sertifikasyon otoritesinin arkasındaki özel anahtarların yeterli rastgelelik üretilmeden oluşturulduğunu tespit etti. Sertifikalar herkese açık belgeler olduğundan, anahtarlar sertifikaların kendisinden geriye doğru yeniden kurulabiliyordu ve ellerine geçiren herkes, yamalanmamış yazılımın gerçek sayacağı sertifikalar üretebiliyordu. Tarayıcılar ilk hamleyi yaptı ve bu sertifikaları kabul etmeyi bıraktı. eMudhra ertesi gün sertifikaları iptal etti ve bu arada sertifika işinden tamamen çıkacağını açıkladı. Zayıflığı ilk işaret eden, Teku'nun denetimlerinin de arkasındaki güvenlik ekibi Consensys Diligence oldu. Birçok operatörün devreye aldığı hazır paketler olan Docker imajları, her iki durumda da etkilenen dağıtım kanalı. Daha geniş Ethereum (ETH) istemci ekosistemi, doğrulayıcı araçlarını Java üzerinde çalıştırıyor; bu ayrıntı hem açığın biçimini hem de çözümü şekillendirdi.

Neden Varsayılan Ana Ağ Düğümleri Güvende

Her iki istemcinin yazıldığı dil olan Java, varsayılan olarak bir sertifikanın iptal edilip edilmediğini kontrol etmiyor. Bu yüzden Teku'nun Docker imajları, tarayıcılar sertifikaları bıraktıktan sonra bile onları kabul etmeye devam etti; düzeltme de bu nedenle yalnızca bir Java güncellemesiyle değil, imajların içinde geliyor. Teku ekibinin sürümle birlikte yayımladığı güvenlik duyurusu saldırıyı adım adım anlatıyor: doğrulayıcı ile bağlandığı servis arasına yerleşen bir saldırgan o servisi taklit edebiliyor; bu taklida alan bir doğrulayıcı ise ücretleri saldırganın adresine ödeyen bir blok önerebiliyordu. En riskli kurulum, doğrulayıcının anahtarlarını tutan ayrı servis olan harici imzacıda: sahte bir imzacı, ödüllerin nereye gönderileceğini değiştiren imzaları teslim edebiliyordu.

Java'nın varsayılanlarındaki bu boşluk, tepkinin sıralamasını da açıklıyor. Tarayıcılar iptali kontrol ettiği için sertifikaları bir gün içinde kesti; Java üzerine kurulu Ethereum (ETH) araçları yapmadı, bu yüzden istemci ekipleri çalışma ortamı düzeyinde bir yamayı beklemek yerine Docker imajlarını, eMudhra'yı güvenilir kümeden çıkararak yeniden derledi. Çoğu operatör için haber çok daha sade: ana ağ üzerinde dokunulmamış varsayılan yapılandırmayla çalışan bir Teku düğümü etkilenmiyor ve işlem yapması gerekmiyor; bugüne kadarki kayıt da çalınan ödül olmadığını gösteriyor. Çözüm kurulumlara göre ayrışıyor. Hazır Docker imajları kullananlar en güncel Teku ya da Besu derlemelerini çekmeli. Yazılımı doğrudan kendi makinesinde çalıştıranların işi daha zor, çünkü Ethereum istemcisini güncellemek ana makinedeki Java kurulumuna dokunmuyor; yeni imajlar da makine düzeyindeki Java'yı onarmıyor. En sıkışık durum, hâlâ Java 26 kullananların: o sürüm ömrünü tamamladı ve yamalı bir derleme almayacak, bu da operatörlere tek çıkış olarak Java 25'e geçişi bırakıyor.

Bu olay, protokol hikâyesinden çok bir operasyon hikâyesi olarak okunuyor. Konsensus katmanı ayakta kaldı ve gerçek anlamda açıkta olan kitle dar: harici imzacı kullananlar, varsayılan olmayan ağ yollarında çalışanlar ya da eski Java kurulumları taşıyanlar. Yine de bir Ethereum düğümü işletmenin bakım yükünü hesaplayan herkes için bu kalemin tabloya girmesi gerekiyor; istemcinin etrafındaki çalışma ortamı kendi takviminde yamalanmak durumunda. Her iki yamalı sürüm de ilgili projelerin depolarında canlıda, yani çözüm yolu bugün her operatörün erişiminde. İki sürümün yayınlanmasından bu yana açığın ciddiyetine dair bağımsız bir değerlendirme ortaya çıkmadı; şimdilik tek kamuya açık değerlendirme, istemci ekiplerinin güvenlik duyuruları olarak duruyor.