TxPipe krpa problem povjerenja u certifikate u četiri Cardano alata

TxPipe je 22. listopada najavio sigurnosne zakrpe za četiri svoja alata otvorenog koda za Cardano infrastrukturu. Tim je rekao da ažurirana izdanja prestaju vjerovati posrednim eMudhra certifikacijskim tijelima čiji se privatni ključevi mogu rekonstruirati.

Skup izdanja uključuje Dolos 1.6.2, Oura 2.2.1 i 1.9.5, Balius 0.5.4 te zakrpanu kontejnersku sliku za Boros. U objavi TxPipe ne navodi se iskorištavanje protiv korisnika niti gubitci sredstava.

Zakrpe uklanjaju povjerenje u pogođene certifikate

Certifikacijska tijela pomažu aplikacijama provjeriti identitet poslužitelja pri uspostavljanju TLS veza koje štite mrežnu komunikaciju. Posredna tijela čine dio lanca certifikata koji softver provjerava prije prihvaćanja veze.

Ako se privatni ključ nekog tijela može rekonstruirati, napadač bi potencijalno mogao izdati certifikate kojima bi pogođeni softver vjerovao. Izloženost ovisi o tome kako aplikacija provjerava certifikate i koje veze uspostavlja.

Ažuriranja TxPipe rješavaju ovaj problem u mrežnim komponentama koje podržavaju njegove alate. Objava se odnosi na aplikacijsku infrastrukturu, a ne na ranjivost u konsenzusnom protokolu Cardano.

Četiri alata podržavaju različite dijelove Cardano aplikacija

Pogođeni projekti služe različitim infrastrukturnim ulogama. Dolos pruža pristup podacima blockchaina Cardano, dok Oura prati događaje na lancu i prosljeđuje ih sustavima kao što su baze podataka i posrednici poruka.

Balius pruža alate za izgradnju i izvođenje aplikacijske logike za Cardano neovisno o određenom korisničkom sučelju. Boros je usmjeren na infrastrukturu za podnošenje transakcija za aplikacije koje obrađuju kontinuirana opterećenja podnošenja.

Za Dolos, verzija 1.6.2 ažurira v1 granu s dugoročnom podrškom. TxPipe navodi da Mithril bootstrapping, obnova snimki i OpenTelemetry izvoz koriste rustls s relevantnim sigurnosnim ispravcima. Tim je također ponovno izgradio kontejnersku sliku sa zakrpnim paketom certifikata koji pruža Debian.

Te promjene obuhvaćaju i ovisnosti aplikacije i pouzdane certifikate isporučene u kontejnerskom okruženju. Drugi projekti imaju vlastite detalje zakrpa, pa se implementacija u Dolos ne bi trebala smatrati opisom svakog izdanja.

[NEWSBREAK]

Ažuriranja implementacije ovise o instaliranom alatu

Ispravci su dostupni kroz različite grane izdanja i formate distribucije. Oura ima zakrpane verzije za svoje v2 i v1 grane, dok je za Boros najavljeno ažuriranje isporučeno kao kontejnerska slika.

Operateri koji koriste ove alate trebaju uskladiti zakrpani paket sa svojom implementiranom verzijom i načinom instalacije. Ažurirano izdanje postaje učinkovito za uslugu kada njegova aktivna implementacija uključi ispravak.

Pallas je isključen iz ovog ciklusa zakrpa. TxPipe navodi da biblioteka nema TLS klijent te stoga za ovaj problem ne zahtijeva novo izdanje.