29.10.2026. 11:22
Ethereumovi klijenti Teku i Besu ispravljaju propust koji je mogao omogućiti preusmjeravanje naknada validatora
advance.hr · Perpetuum
Sigurnosni propust indijske certifikacijske tvrtke eMudhra omogućio je krivotvorenje digitalnih certifikata koje su određene konfiguracije Ethereumovih klijenata Teku i Besu mogle prihvatiti kao vjerodostojne. Napadač koji bi presreo HTTPS vezu validatora mogao je u pojedinim slučajevima preusmjeriti naknade za blokove na vlastitu adresu ili se predstaviti kao pouzdani udaljeni servis. Razvojni timovi objavili su sigurnosna ažuriranja, dok Teku naglašava da zadana konfiguracija na glavnoj Ethereumovoj mreži nije zahvaćena i da nije prijavljeno iskorištavanje ranjivosti.
Digitalni certifikati počivaju na pretpostavci da se iz javnog ključa ne može praktično izračunati privatni. Kod osam posredničkih certifikacijskih tijela indijske eMudhre ta je pretpostavka spektakularno zakazala. Prema analizi Kudelski Securityja, privatni ključevi namijenjeni kriptografiji s 384-bitnom krivuljom imali su vrijednosti poput 4, 56 i 66 - svih osam bilo je manje od 256. Istraživač je uspio rekonstruirati ključeve iz javnih certifikata te dokazao da ih posjeduje potpisivanjem poruke "We have a problem here - Wayne".
Prema objašnjenju same eMudhre, ključevi su izrađeni 30. travnja 2025. tijekom formalne ceremonije uz certificirane uređaje za čuvanje kriptografskih tajni. Problem nije bio u izostanku skupe zaštitne opreme, nego u pogrešnom koraku obrade ključeva koji je proizveo slabije inačice. Tvrtka navodi da je pogreška ostala nezapažena oko 18 mjeseci, unatoč dvama neovisnim revizijskim ciklusima.
Još je neugodniji nastavak priče. Certifikati su opozvani, ali Java po zadanim postavkama ne provjerava uvijek njihov opoziv . Zbog toga je program koji provjerava identitet udaljenog poslužitelja mogao i dalje prihvatiti krivotvorinu, što je otvorilo problem i za pojedine konfiguracije Ethereumovih validatora. Kod Jave zapakirane u Dockerovu sliku čak ni ažuriranje operacijskog sustava domaćina ne mijenja zastarjeli popis pouzdanih certifikata unutar te slike.
Izvor priloga
Pogledaj sve iz kanala — Kriptovalute
O sustavu advance Perpetuum. Perpetuum kontinuirano pretražuje izvore, RSS kanale i druga mjesta objave informacija kako bi vam što brže donio važne vijesti. Uz sadržaj navodimo izvor ili referencu te ga nastojimo filtrirati i razvrstati prema procijenjenim perspektivama. Riječ je prvenstveno o prijenosu i sažimanju tuđih objava: navedene tvrdnje nisu uvijek neovisno potvrđene, pa njihovu točnost treba uzeti s određenom rezervom.
Rasprava