Hydra, Cardano Katman 2’deki Güvenlik Açığını Giderdi

Araştırmacıların anlık görüntü onayı sırasında işlem işleme sürecinde bir kusur tespit etmesinin ardından Hydra’daki kritik bir güvenlik açığı giderildi. 2 Eylül’de yayımlanan bir güvenlik duyurusuna göre sorun, 2.4.0 dahil Hydra düğüm sürümlerini etkiledi ve 2.4.1 sürümünde yamalandı.

Hydra, işlemleri zincir dışında düşük gecikmeyle işleyip ortaya çıkan durumu Cardano ana zincirine geri yerleştirmek üzere tasarlanmış Cardano’nun katman 2 ölçekleme protokolüdür.

Açık Hydra Head İşlemlerini Etkiledi

Bir Hydra Head, katılımcıların Cardano UTxO’larını taahhüt ettiği ve işlemleri, her işlemi doğrudan katman 1’e kaydetmeden gerçekleştirdiği zincir dışı bir ortamdır.

Açık, gerekli doğrulama süreci tamamlanmadan önce geçersiz bir işlemin Hydra’nın dahili işlem kümesine girmesine izin veriyordu.

Belirli koşullar altında bu işlem, bazı imza ve Plutus kontrolleri atlanırken anlık görüntü işleme sırasında daha sonra yeniden uygulanabiliyordu. Kötü niyetli bir katılımcı bu sayede dürüst düğümlerin, başka bir katılımcının fonlarını yeniden tahsis eden bir anlık görüntüyü imzalamasına neden olabiliyordu.

Duyuru, açığı kritik olarak sınıflandırıyor.

Hydra Yaması İşlem Doğrulamasını Değiştiriyor

Yama, Hydra’nın işlemleri daha sonra işlenmek üzere nasıl depoladığını değiştiriyor.

İşlemler artık yalnızca doğrulama başarılı olduktan sonra tutuluyor, böylece geçersiz bir işlemin etkilenen anlık görüntü yoluna ulaşması engelleniyor.

2.4.0 dahil olmak üzere Hydra sürümleri savunmasız olarak listelenirken, 2.4.1 sürümü düzeltmeyi içeriyor.

Saldırı, etkilenen Hydra Head içinde katılım gerektiriyor. Bu durum, Cardano’nun katman 1 mutabakatının ele geçirilmesi anlamına gelmiyor ve harici bir saldırganın Cardano ağını doğrudan kontrol etmesine izin vermiyor.

Güvenlik duyurusu olası saldırıyı ve giderimini tanımlıyor ancak açıktan kaynaklanan doğrulanmış bir üretim hırsızlığı bildirmiyor.

Hydra Doğrulama ve Testi Genişletiyor

Bu açıklama, Hydra geliştirmesi resmi spesifikasyon, test ve operasyonel araçlar genelinde sürerken geldi.

Cardano’nun 4 Eylül tarihli geliştirme raporu, Hydra spesifikasyonunun Agda içinde resmileştirildiğini ve ekibin Hydra düğümü ile doğrulayıcısı arasında farklılaştırmalı testler eklediğini, buna makineyle denetlenmiş bir referansın eşlik ettiğini belirtiyor.

Güncelleme ayrıca betik bütünlüğü, UTxO değer işleme, benchmark tutarlılığı ve daha geniş özellik testi üzerinde çalışmaları içerirken, AMD64 desteğine ek olarak yerel Linux ARM64 Hydra düğüm imajları eklendi.

Rapor, bu geliştirme değişikliklerini güvenlik duyurusuna doğrudan yanıtlar olarak tanımlamıyor.

Hydra’nın mimarisi, katılımcıların zincir dışı bir Head içinde işlem yapabilmesine ve daha sonra mutabakata varılan durumu Cardano’ya geri yerleştirebilmesine dayanır. Yamalanmış sürüm, yalnızca başarıyla doğrulanmış işlemlerin anlık görüntü sürecine girebilmesini sağlayarak tanımlanan işlem yolunu ortadan kaldırıyor.