TxPipe исправляет проблему доверия к сертификатам в четырех инструментах Cardano

TxPipe объявила 22 октября о выпуске исправлений безопасности для четырех своих инфраструктурных инструментов Cardano с открытым исходным кодом. Команда сообщила, что обновленные релизы прекращают доверять промежуточным центрам сертификации eMudhra, приватные ключи которых могут быть восстановлены.

В релиз вошли Dolos 1.6.2, Oura 2.2.1 и 1.9.5, Balius 0.5.4 и исправленный образ контейнера для Boros. В объявлении TxPipe не сообщается о случаях эксплуатации в отношении пользователей или о потерях средств.

Патчи убирают доверие к затронутым сертификатам

Центры сертификации помогают приложениям проверять подлинность серверов при установлении TLS соединений, которые защищают сетевые коммуникации. Промежуточные центры являются частью цепочки сертификатов, которую ПО проверяет перед принятием соединения.

Если приватный ключ центра может быть восстановлен, злоумышленник потенциально сможет выпускать сертификаты, которым будет доверять затронутое ПО. Степень воздействия зависит от того, как приложение проверяет сертификаты и какие соединения устанавливает.

Обновления TxPipe устраняют эту проблему в сетевых компонентах, поддерживающих эти инструменты. Объявление касается инфраструктуры приложений, а не уязвимости в протоколе консенсуса Cardano.

Четыре инструмента поддерживают разные части приложений Cardano

Затронутые проекты выполняют разные инфраструктурные роли. Dolos предоставляет доступ к данным блокчейна Cardano, а Oura отслеживает события в сети и передает их в такие системы, как базы данных и брокеры сообщений.

Balius предоставляет инструменты для построения и выполнения логики приложений Cardano независимо от конкретного пользовательского интерфейса. Boros сосредоточен на инфраструктуре отправки транзакций для приложений, обрабатывающих постоянные нагрузки на отправку.

Для Dolos версия 1.6.2 обновляет ветку долгосрочной поддержки v1. TxPipe сообщает, что начальная загрузка Mithril, восстановление снапшотов и экспорт OpenTelemetry используют rustls с соответствующими исправлениями безопасности. Команда также пересобрала образ контейнера с исправленным набором сертификатов Debian.

Эти изменения затрагивают как зависимости приложения, так и доверенные сертификаты, поставляемые в среде контейнера. У других проектов свои детали исправлений; реализацию Dolos не следует рассматривать как описание каждого релиза.

[NEWSBREAK]

Развертывание обновлений зависит от установленного инструмента

Исправления доступны через разные ветки релизов и форматы распространения. Для Oura доступны исправленные версии как для ветки v2, так и для v1, а объявленное обновление Boros поставляется в виде образа контейнера.

Операторы, использующие эти инструменты, должны сопоставить исправленный пакет со своей развернутой версией и способом установки. Обновленный релиз начинает действовать для сервиса, как только запущенное развертывание включает исправление.

Pallas исключена из этого цикла исправлений. TxPipe сообщает, что в библиотеке нет TLS клиента, поэтому для этой проблемы новый релиз не требуется.