ไคลเอนต์ Ethereum อย่าง Teku และ Besu ออกแพตช์ความเสี่ยง trust store จากคีย์ CA ที่ถูกบุกรุก

ทีมซอฟต์แวร์ Ethereum ได้เผยแพร่การอัปเดตสำหรับไคลเอนต์ Teku และ Besu เพื่อจัดการกับความเสี่ยงจากการเปิดเผย trust store ที่เชื่อมโยงกับคีย์ผู้ให้บริการออกใบรับรอง (CA) จาก eMudhra ที่ถูกบุกรุก ตามรายงานของ NewsBTC การเปิดเผยนี้เกี่ยวข้องกับผู้ให้บริการออกใบรับรองที่ซอฟต์แวร์ไคลเอนต์พึ่งพาเมื่อตรวจสอบการเชื่อมต่อ TLS ไม่ใช่กฎฉันทามติของเชน

trust store คือชุดใบรับรองราก (root certificates) ภายในเครื่องที่แอปพลิเคชันใช้ตัดสินใจว่าจะยอมรับการเชื่อมต่อที่เข้ารหัสใด หากผู้ให้บริการออกใบรับรองในที่เก็บนั้นถูกบุกรุก โดยหลักการแล้วผู้โจมตีอาจได้รับใบรับรองที่ซอฟต์แวร์ไคลเอนต์จะถือว่าถูกต้องตามกฎหมาย

การอัปเดตครอบคลุมอะไรบ้าง

• Teku และ Besu ซึ่งเป็นไคลเอนต์ Ethereum execution และ consensus สองตัวที่พัฒนาอย่างเป็นอิสระจากกัน ต่างได้รับการอัปเดต
• การเปลี่ยนแปลงนี้มุ่งเป้าไปที่ความเสี่ยงของ trust store ที่เชื่อมโยงกับคีย์ CA ของ eMudhra
• ปัญหานี้อยู่ในการตรวจสอบใบรับรอง ไม่ใช่ในการประมวลผลบล็อกหรือหน้าที่ของ validator

ผู้ดำเนินการโหนดที่รันไคลเอนต์ใดไคลเอนต์หนึ่งได้รับผลกระทบตามขอบเขตของคำแนะนำนี้ แหล่งข้อมูลไม่ได้ระบุว่าเวอร์ชันใดมีการแก้ไข ดังนั้นผู้ดำเนินการควรตรวจสอบเวอร์ชันที่เกี่ยวข้องผ่านบันทึกการเปิดตัวของโครงการเองก่อนอัปเดต

เหตุการณ์เกี่ยวกับผู้ให้บริการออกใบรับรองเป็นเรื่องการบำรุงรักษาที่เกิดขึ้นซ้ำสำหรับความหลากหลายของไคลเอนต์ เนื่องจาก Ethereum พึ่งพาไคลเอนต์หลายตัวที่พัฒนาอย่างเป็นอิสระจากกัน ปัญหาการพึ่งพาในการนำไปใช้งานหนึ่งจึงไม่ส่งผลต่อตัวอื่นโดยอัตโนมัติ แต่แต่ละทีมยังคงต้องเผยแพร่การแก้ไขของตนเอง