TxPipe تصحح مشكلة الثقة بالشهادات في أربع أدوات Cardano

أعلنت TxPipe في 22 أكتوبر عن تصحيحات أمنية لأربع من أدوات البنية التحتية لـ Cardano مفتوحة المصدر الخاصة بها. وقال الفريق إن الإصدارات المحدثة توقفت عن الوثوق بسلطات الشهادات الوسيطة من eMudhra التي يمكن اشتقاق مفاتيحها الخاصة.

تشمل تشكيلة الإصدارات Dolos 1.6.2 و Oura 2.2.1 و 1.9.5 و Balius 0.5.4، وصورة حاوية مُرقعة لـ Boros. لا يورد إعلان TxPipe أي استغلال ضد مستخدميه أو خسائر في الأموال.

تصحيحات تزيل الثقة في الشهادات المتأثرة

تساعد سلطات الشهادات التطبيقات على التحقق من هوية الخوادم عند إنشاء اتصالات TLS التي تحمي اتصالات الشبكة. وتشكل السلطات الوسيطة جزءًا من سلسلة الشهادات التي يفحصها البرنامج قبل قبول الاتصال.

إذا أمكن إعادة بناء المفتاح الخاص لسلطة ما، فقد يتمكن مهاجم من إصدار شهادات سيثق بها البرنامج المتأثر. وتعتمد درجة التعرض على كيفية تحقق التطبيق من الشهادات والاتصالات التي يجريها.

تعالج تحديثات TxPipe هذه المشكلة في مكونات الشبكات التي تدعم أدواتها. ويتعلق الإعلان بالبنية التحتية للتطبيقات لا بثغرة في بروتوكول إجماع Cardano.

أربع أدوات تدعم أجزاء مختلفة من تطبيقات Cardano

تؤدي المشاريع المتأثرة أدوارًا متميزة ضمن البنية التحتية. يوفر Dolos الوصول إلى بيانات بلوكشين Cardano، بينما يراقب Oura الأحداث على السلسلة ويرسلها إلى أنظمة مثل قواعد البيانات ووسطاء الرسائل.

يوفر Balius أدوات لبناء وتشغيل منطق تطبيقات Cardano بمعزل عن واجهة مستخدم بعينها. ويركز Boros على بنية إرسال المعاملات للتطبيقات التي تتعامل مع أعباء إرسال مستمرة.

بالنسبة إلى Dolos، يقوم الإصدار 1.6.2 بتحديث فرع الدعم طويل الأمد v1. وتقول TxPipe إن تهيئة Mithril واستعادة اللقطات وتصدير OpenTelemetry تستخدم rustls مع الإصلاحات الأمنية ذات الصلة. كما أعاد الفريق بناء صورة الحاوية باستخدام حزمة الشهادات المرقعة الخاصة بـ Debian.

تعالج هذه التغييرات كلًا من تبعيات التطبيق والشهادات الموثوقة المزوّدة في بيئة الحاوية. ولدى المشاريع الأخرى تفاصيل التصحيح الخاصة بها؛ ولا ينبغي اعتبار تنفيذ Dolos وصفًا لكل إصدار.

[NEWSBREAK]

تحديثات النشر تعتمد على الأداة المثبتة

تتوفر الإصلاحات عبر خطوط إصدار مختلفة وتنسيقات توزيع متعددة. لدى Oura إصدارات مُرقعة لكل من فرعي v2 و v1، بينما يتم تقديم التحديث المُعلن لـ Boros على شكل صورة حاوية.

يحتاج المشغلون الذين يستخدمون هذه الأدوات إلى مواءمة الحزمة المُرقعة مع نسختهم المنشورة وطريقة التثبيت. ويصبح الإصدار المحدّث نافذًا لخدمة ما بمجرد أن يدمج نشرها الجاري الإصلاح.

تم استثناء Pallas من دورة التصحيحات هذه. وتقول TxPipe إن المكتبة لا تحتوي على عميل TLS وبالتالي لا تتطلب إصدارًا جديدًا لهذه المسألة.