coindesk.com
Ein Kryptografie-Fehler bei einer indischen Zertifikatsgesellschaft hat seinen Weg in Ethereum gefunden, wo er Angreifern möglicherweise stillschweigend ermöglicht hätte, einige Blockbelohnungen von Validatoren an sich selbst zu senden.
Teku, die Software, die viele Validatoren verwenden, um Ethereums Proof-of-Stake-Seite zu betreiben, Version 26.10.3 veröffentlicht am Dienstag. Besu, das Ethereum-Transaktionen verarbeitet, Version 26.10.2 veröffentlicht am Montag. Beide Updates setzen das Vertrauen in Zertifikate, die mit eMudhra, einer indischen Zertifizierungsstelle, verbunden sind, in ihren Docker-Images aus, den vorgefertigten Versionen, die viele Betreiber verwenden.
Validatoren sind die Computer, die ETH staken, um Ethereum zu sichern und Gebühren für das Vorschlagen von Blöcken zu verdienen. Einige von ihnen kommunizieren über das Internet mit anderen Diensten und verlassen sich dabei auf digitale Zertifikate, um sicherzustellen, dass sie mit dem richtigen Dienst sprechen.
Was zusammenbrach
Am 17. Oktober stellten Forscher fest, dass die privaten Schlüssel hinter acht der Zwischenzertifizierungsstellen von eMudhra mit zu wenig Zufälligkeit erzeugt wurden.
Das bedeutete, dass die Schlüssel aus den Zertifikaten selbst, die öffentlich sind, abgeleitet werden konnten. Jeder, der im Besitz dieser Schlüssel war, konnte Zertifikate ausstellen, die von ungepatchter Software als echt akzeptiert würden. Browser blockierten die Zertifikate, eMudhra widerrief sie einen Tag später, und das Unternehmen hat seitdem erklärt, dass es das Zertifikatgeschäft verlassen.
Weiterlesen: Ein Unternehmen, das für Websites bürgt, hatte geheime Schlüssel, die so schwach waren, dass 8 davon geknackt wurden
Java, die Programmiersprache, auf der Teku und Besu laufen, überprüft standardmäßig nicht, ob ein Zertifikat widerrufen wurde. Daher vertrauten Tekus Docker-Images weiterhin den ungültigen Zertifikaten, selbst nachdem Browser sie nicht mehr akzeptierten.
Wie Validatoren Geld verlieren könnten
Ein Angreifer, der sich zwischen einen Validator und einen Dienst setzt, mit dem dieser verbunden ist, könnte sich als dieser Dienst ausgeben. In seinem Sicherheitswarnung, Teku erklärte, dass ein auf diese Weise getäuschter Validator einen Block vorschlagen könnte, der seine Gebühren an die Adresse des Angreifers zahlt.
Ein gefälschter externer Signierer, der separate Dienst, der die Schlüssel eines Validators verwahrt, könnte Signaturen übergeben, die dazu verwendet werden, den Ort der Belohnungsverteilung zu ändern. Teku bewertete dies als das risikoreichste Setup.
„Ein Standard-Teku-Knoten im Mainnet ist nicht betroffen und es sind keine Maßnahmen erforderlich“, schrieb das Team und fügte hinzu, dass „keine Ausnutzung gemeldet wurde.“ Consensys Diligence, Tekus Sicherheitspartner, hat das Problem zunächst gemeldet.
