emudhra

Уязвимость криптографической безопасности, связанная с индийским удостоверяющим центром eMudhra, затрагивает клиенты Ethereum Teku и Besu. Исследователи обнаружили, что закрытые ключи восьми промежуточных удостоверяющих центров eMudhra могут быть вычислены из-за недостаточной случайности, что позволяет злоумышленникам подделывать сертификаты и обманывать неподготовленное программное обеспечение, заставляя его доверять вредоносным сервисам.Teku выпустила версию 26.1.3, а Besu выпустила версию 26.1.2, в которых доверие к соответствующим сертификатам было удалено из образов Docker. Если злоумышленник осуществит атаку "человек посередине", он может обмануть некоторых валидаторов, заставив их отправить вознаграждение за комиссию за блок на адрес злоумышленника; в определенной конфигурации с использованием внешнего подписчика риск может быть выше. Команда Teku сообщила, что узел Teku на основной сети Ethereum с настройками по умолчанию не подвержен воздействию, и никаких действий предпринимать не нужно, на данный момент нет сообщений о том, что уязвимость была использована.Для операторов, которые запускают Teku или Besu непосредственно на хосте и не используют Docker, простое обновление клиента может быть недостаточно; необходимо также вручную обновить Java и список доверенных сертификатов. Операторам, которые все еще используют устаревшую Java 26, необходимо перейти на Java 25.

Consensys и поставщик решений для цифровой подписи eMudhra совместно выпустили предупреждение о безопасности, указывая на риски для операторов Ethereum при использовании схемы подписи eMudhra. Команда обнаружила уязвимости в некоторых хранилищах доверия Java, а также некоторые конфигурации могут привести к рискам раскрытия.Согласно раскрытию, настройки по умолчанию не подвержены воздействию, но некоторые развертывания Web3Signer требуют немедленного изменения контроля доступа. Web3Signer — это инструмент удаленной подписи с открытым исходным кодом, разработанный Consensys, который часто используется для управления ключами в сетях, таких как Ethereum.

Согласно сообщению Cointelegraph, компания по обеспечению безопасности блокчейна CertiK заявила, что, несмотря на то, что Google, Apple и Microsoft заблокировали 8 затронутых сертификатов, выданных индийским цифровым сертификатным органом eMudhra, криптовалютные торговые роботы и приложения бирж все еще могут подвергаться риску связанных уязвимостей, и меры по исправлению браузеров могут не охватывать программное обеспечение, использующее независимые системы безопасности.Старший директор по безопасности цифровых активов CertiK Пейю Ван отметил, что злоумышленники могут использовать скомпрометированные сертификаты для подделки интерфейсов бирж, кошельков и API, заменять адреса пополнения или побуждать пользователей одобрять вредоносные транзакции, однако для проведения таких атак необходимо перехватывать или перенаправлять сетевой трафик, и только с помощью ключей затронутого сертификатного органа невозможно раскрыть приватные ключи кошелька. Операторы криптосервисов должны обновить программное обеспечение и доверенные сертификаты, а также подтвердить, что приложения отклоняют затронутые сертификаты.

Восемь TLS сертификатов, выданных индийской eMudhra, были обнаружены с крайне слабыми закрытыми ключами, что позволяет злоумышленникам выдавать себя за практически любой сайт. Основные браузеры заблокировали затронутые сертификаты, но миллионы серверов, систем Linux и подключенных устройств могут все еще нуждаться в обновлении.Один из экспертов в области криптографии предупредил, что масштаб этой очистки может превысить уязвимость Heartbleed 2014 года, и на данный момент не подтверждено наличие злонамеренного использования.