TxPipe corregge un problema di fiducia dei certificati in quattro strumenti Cardano

TxPipe ha annunciato il 22 ottobre patch di sicurezza per quattro dei suoi strumenti open source di infrastruttura Cardano. Il team ha dichiarato che le release aggiornate smettono di considerare attendibili le autorità di certificazione intermedie eMudhra le cui chiavi private possono essere derivate.

La serie di release include Dolos 1.6.2, Oura 2.2.1 e 1.9.5, Balius 0.5.4 e un'immagine di container corretta con patch per Boros. L'annuncio di TxPipe non riporta sfruttamenti ai danni dei suoi utenti o perdite di fondi.

Le patch rimuovono la fiducia nei certificati interessati

Le autorità di certificazione aiutano le applicazioni a verificare l'identità dei server quando si instaurano connessioni TLS, che proteggono le comunicazioni di rete. Le autorità intermedie fanno parte della catena di certificazione che il software controlla prima di accettare una connessione.

Se la chiave privata di un'autorità può essere ricostruita, un attaccante potrebbe potenzialmente emettere certificati che il software interessato considererebbe affidabili. L'esposizione dipende da come un'applicazione convalida i certificati e da quali connessioni effettua.

Gli aggiornamenti di TxPipe affrontano questo problema nei componenti di rete che supportano i suoi strumenti. L'annuncio riguarda l'infrastruttura applicativa e non una vulnerabilità nel protocollo di consenso di Cardano.

Quattro strumenti supportano parti diverse delle applicazioni Cardano

I progetti interessati svolgono ruoli infrastrutturali distinti. Dolos fornisce accesso ai dati della blockchain di Cardano, mentre Oura monitora gli eventi on chain e li inoltra a sistemi come database e message broker.

Balius fornisce strumenti per creare ed eseguire la logica applicativa di Cardano in modo indipendente da una particolare interfaccia utente. Boros si concentra sull'infrastruttura di invio delle transazioni per le applicazioni che gestiscono carichi di invio sostenuti.

Per Dolos, la versione 1.6.2 aggiorna il ramo v1 a supporto a lungo termine. TxPipe afferma che il bootstrap di Mithril, il ripristino degli snapshot e l'esportazione OpenTelemetry usano rustls con le correzioni di sicurezza pertinenti. Il team ha anche ricostruito l'immagine del container con il bundle di certificati di Debian aggiornato con le patch.

Queste modifiche intervengono sia sulle dipendenze dell'applicazione sia sui certificati attendibili forniti nell'ambiente del container. Gli altri progetti hanno dettagli di patch propri; l'implementazione di Dolos non va considerata come descrizione di ogni release.

[NEWSBREAK]

Gli aggiornamenti di distribuzione dipendono dallo strumento installato

Le correzioni sono disponibili tramite diverse linee di release e formati di distribuzione. Oura dispone di versioni con patch per i rami v2 e v1, mentre l'aggiornamento annunciato di Boros è distribuito come immagine di container.

Gli operatori che utilizzano questi strumenti devono abbinare il pacchetto corretto con patch alla loro versione distribuita e al metodo di installazione. Una release aggiornata diventa effettiva per un servizio una volta che la distribuzione in esecuzione incorpora la correzione.

Pallas è esclusa da questo ciclo di patch. TxPipe afferma che la libreria non ha un client TLS e quindi non richiede una nuova release per questo problema.