TxPipe dört Cardano aracındaki sertifika güveni sorununu giderdi

TxPipe, 22 Ekim'de açık kaynaklı Cardano altyapı araçlarından dördü için güvenlik yamaları duyurdu. Ekip, güncellenen sürümlerin özel anahtarları türetilebilen eMudhra ara sertifika otoritelerine duyulan güveni sonlandırdığını söyledi.

Yayın listesinde Dolos 1.6.2, Oura 2.2.1 ve 1.9.5, Balius 0.5.4 ile Boros için yamalı bir konteyner imajı yer alıyor. TxPipe'in duyurusu kullanıcılarına yönelik bir istismar ya da fon kaybı bildirmiyor.

Yamalar etkilenen sertifikalara duyulan güveni kaldırıyor

Sertifika otoriteleri, ağ iletişimini koruyan TLS bağlantıları kurulurken uygulamaların sunucuların kimliğini doğrulamasına yardımcı olur. Ara otoriteler, yazılımın bir bağlantıyı kabul etmeden önce kontrol ettiği sertifika zincirinin bir parçasını oluşturur.

Bir otoritenin özel anahtarı yeniden oluşturulabiliyorsa bir saldırgan, etkilenen yazılımın güveneceği sertifikalar düzenleyebilir. Maruziyet, bir uygulamanın sertifikaları nasıl doğruladığına ve hangi bağlantıları kurduğuna bağlıdır.

TxPipe'in güncellemeleri bu sorunu araçlarını destekleyen ağ bileşenlerinde ele alıyor. Duyuru, Cardano'nun mutabakat protokolündeki bir güvenlik açığından ziyade uygulama altyapısıyla ilgilidir.

Dört araç Cardano uygulamalarının farklı bölümlerini destekliyor

Etkilenen projeler farklı altyapı rollerine hizmet ediyor. Dolos Cardano blok zinciri verilerine erişim sağlar, Oura ise zincir üzerindeki olayları izleyerek bunları veritabanları ve mesaj aracıları gibi sistemlere iletir.

Balius, belirli bir kullanıcı arayüzünden bağımsız olarak Cardano uygulama mantığını oluşturmak ve çalıştırmak için araçlar sağlar. Boros ise sürekli gönderim iş yüklerini yöneten uygulamalar için işlem gönderim altyapısına odaklanır.

Dolos için 1.6.2 sürümü v1 uzun süreli destek dalını güncelliyor. TxPipe, Mithril önyükleme, anlık görüntü geri yükleme ve OpenTelemetry dışa aktarma işlemlerinin ilgili güvenlik düzeltmeleriyle rustls kullandığını söylüyor. Ekip ayrıca konteyner imajını Debian'ın yamalı sertifika paketiyle yeniden oluşturdu.

Bu değişiklikler hem uygulama bağımlılıklarını hem de konteyner ortamında sağlanan güvenilen sertifikaları ele alıyor. Diğer projelerin kendi yama ayrıntıları vardır, Dolos'un uygulaması her sürümün açıklaması olarak değerlendirilmemelidir.

[NEWSBREAK]

Dağıtım güncellemeleri kurulu araca bağlıdır

Düzeltmeler farklı sürüm hatları ve dağıtım biçimleri üzerinden sunuluyor. Oura hem v2 hem de v1 dalları için yamalı sürümlere sahipken Boros için duyurulan güncelleme bir konteyner imajı olarak teslim ediliyor.

Bu araçları kullanan operatörlerin yamalı paketi dağıtılmış sürüm ve kurulum yöntemleriyle eşleştirmesi gerekiyor. Çalışan dağıtıma düzeltme dahil edildiğinde güncellenmiş sürüm hizmet için etkin hale gelir.

Pallas bu yama döngüsünün dışında tutuldu. TxPipe, kütüphanenin bir TLS istemcisi bulunmadığını ve bu nedenle bu sorun için yeni bir sürüm gerektirmediğini söylüyor.