TxPipe odpravi težavo zaupanja v potrdila v štirih orodjih Cardano

TxPipe je 22. oktobra napovedal varnostne popravke za štiri svoja odprtokodna infrastrukturna orodja za Cardano. Ekipa je povedala, da posodobljene izdaje prenehajo zaupati posrednim overiteljem potrdil eMudhra, katerih zasebne ključe je mogoče izpeljati.

Nabor izdaj vključuje Dolos 1.6.2, Oura 2.2.1 in 1.9.5, Balius 0.5.4 ter popravljen kontejnerski sliko za Boros. V objavi TxPipe ni poročil o zlorabah proti uporabnikom ali izgubah sredstev.

Popravki odstranijo zaupanje v prizadeta potrdila

Overitelji potrdil pomagajo aplikacijam preveriti identiteto strežnikov pri vzpostavljanju povezav TLS, ki ščitijo omrežno komunikacijo. Posredni overitelji so del verige potrdil, ki jo programska oprema preveri, preden sprejme povezavo.

Če je mogoče zasebni ključ overitelja rekonstruirati, bi napadalec lahko izdal potrdila, ki bi jim prizadeta programska oprema zaupala. Izpostavljenost je odvisna od tega, kako aplikacija preverja potrdila in katere povezave vzpostavlja.

Posodobitve TxPipe obravnavajo to težavo v omrežnih komponentah, ki podpirajo njegova orodja. Objava se nanaša na aplikacijsko infrastrukturo in ne na ranljivost v konsenznem protokolu Cardano.

Štiri orodja podpirajo različne dele aplikacij Cardano

Prizadeti projekti opravljajo različne infrastrukturne vloge. Dolos omogoča dostop do podatkov verige blokov Cardano, Oura pa spremlja dogodke na verigi in jih posreduje sistemom, kot so baze podatkov in posredniki sporočil.

Balius nudi orodja za gradnjo in izvajanje aplikacijske logike Cardano neodvisno od določenega uporabniškega vmesnika. Boros se osredotoča na infrastrukturo za pošiljanje transakcij za aplikacije, ki obravnavajo trajne obremenitve pošiljanja.

Za Dolos različica 1.6.2 posodablja vejo v1 za dolgoročno podporo. TxPipe pravi, da Mithril bootstrapping, obnova posnetkov in izvoz OpenTelemetry uporabljajo rustls z ustreznimi varnostnimi popravki. Ekipa je prav tako znova zgradila kontejnersko sliko z Debianovim popravljenim paketom potrdil.

Te spremembe obravnavajo tako odvisnosti aplikacije kot zaupanja vredna potrdila, dobavljena v kontejnerskem okolju. Drugi projekti imajo svoje podrobnosti popravkov. Implementacije Dolos ne gre obravnavati kot opis vsake izdaje.

[NEWSBREAK]

Posodobitve uvajanja so odvisne od nameščenega orodja

Popravki so na voljo prek različnih izdajnih vej in distribucijskih formatov. Oura ima popravljene različice za svoji veji v2 in v1, medtem ko je napovedana posodobitev za Boros dostavljena kot kontejnerska slika.

Operaterji, ki uporabljajo ta orodja, morajo uskladiti popravljen paket s svojo nameščeno različico in načinom namestitve. Posodobljena izdaja začne veljati za storitev, ko delujoča namestitev vključi popravek.

Pallas je izključen iz tega cikla popravkov. TxPipe pravi, da knjižnica nima odjemalca TLS in zato za to težavo ne potrebuje nove izdaje.