Lỗ hổng chứng chỉ eMudhra gây ra cập nhật bảo mật cho ứng dụng Ethereum Teku và Besu
TREE NEWS đưa tin: Tổ chức chứng thực chứng chỉ số eMudhra có trụ sở tại Ấn Độ đã công bố một lỗ hổng nghiêm trọng trong quy trình tạo khóa của mình, trong đó tính ngẫu nhiên không đủ cho phép kẻ tấn công có khả năng lấy được khóa riêng của tám tổ chức chứng thực chứng chỉ trung gian. Lỗ hổng này có thể cho phép giả mạo chứng chỉ số đáng tin cậy, làm suy yếu tính toàn vẹn của TLS và các giao tiếp được mã hóa khác trên toàn internet.
Tác động đã lan đến hệ sinh thái Ethereum, thúc đẩy các bản cập nhật bảo mật cho các ứng dụng đồng thuận Teku và Besu. Các ứng dụng này dựa vào các tổ chức chứng thực chứng chỉ đáng tin cậy để thiết lập kết nối an toàn giữa các nút và với các dịch vụ bên ngoài. Nếu kẻ tấn công có thể giả mạo chứng chỉ cho một tên miền được sử dụng bởi một nút, họ có thể chặn hoặc thao túng lưu lượng, có khả năng làm gián đoạn đồng thuận hoặc đánh cắp dữ liệu nhạy cảm.
Tại sao điều này quan trọng đối với Ethereum
Các ứng dụng đồng thuận của Ethereum là xương sống của bảo mật mạng lưới. Teku, được phát triển bởi ConsenSys, và Besu, được duy trì bởi Hyperledger, là hai trong số các ứng dụng thực thi và đồng thuận được sử dụng rộng rãi nhất. Mặc dù các nút mainnet mặc định không bị ảnh hưởng trực tiếp—vì chúng thường không dựa vào các CA trung gian bị xâm phạm cho các hoạt động quan trọng—các nhà vận hành với cấu hình tùy chỉnh hoặc những người sử dụng chứng chỉ do eMudhra cấp có thể gặp rủi ro.
Sự cố này làm nổi bật những rủi ro lan truyền của niềm tin tập trung trong một hệ sinh thái phi tập trung. Các tổ chức chứng thực chứng chỉ là một điểm lỗi duy nhất cho toàn bộ mã hóa của web. Khi việc tạo khóa của một CA bị lỗi, hậu quả sẽ lan rộng khắp các ngành, từ ngân hàng đến blockchain.
Tác động đến ngành
Đây không phải là lần đầu tiên các tổ chức chứng thực chứng chỉ bị xâm phạm. Vụ vi phạm DigiNotar năm 2011 và sự cố cấp phát sai của Symantec năm 2017 đã chứng minh cách các thất bại của CA có thể làm xói mòn niềm tin. Tuy nhiên, việc ngành công nghiệp blockchain dựa vào các tổ chức này cho giao tiếp nút và truy cập API khiến nó đặc biệt dễ bị tổn thương.
Đối với các nhóm ứng dụng Ethereum, phản hồi đã nhanh chóng: vá các ứng dụng bị ảnh hưởng để từ chối chứng chỉ từ các trung gian bị xâm phạm. Nhưng bài học rộng hơn là ngành công nghiệp tiền mã hóa phải giảm sự phụ thuộc vào PKI truyền thống. Danh tính phi tập trung và xác minh chứng chỉ trên chuỗi có thể cung cấp một giải pháp thay thế linh hoạt hơn, mặc dù việc áp dụng vẫn còn sơ khai.
- Người dùng Teku và Besu nên cập nhật lên phiên bản mới nhất ngay lập tức, đặc biệt nếu họ vận hành các nút với cấu hình TLS tùy chỉnh.
- Các nhà vận hành nút nên kiểm tra chuỗi chứng chỉ của họ và xem xét chuyển sang CA thay thế hoặc chứng chỉ tự ký cho giao tiếp nội bộ.
- Sự cố nhấn mạnh nhu cầu về tiêu chuẩn ngẫu nhiên tốt hơn trong tạo khóa và kiểm toán nghiêm ngặt hơn đối với cơ sở hạ tầng CA.
Quan điểm hướng tới tương lai
Khi các mạng blockchain ngày càng kết nối với các hệ thống truyền thống, bảo mật của cơ sở hạ tầng internet cơ bản trở nên tối quan trọng. Sự kiện này có thể đẩy nhanh các nỗ lực xây dựng các giải pháp thay thế phi tập trung cho các tổ chức chứng thực chứng chỉ, chẳng hạn như những giải pháp sử dụng PKI dựa trên blockchain. Hiện tại, phản hồi nhanh chóng của cộng đồng Ethereum giảm thiểu rủi ro trước mắt, nhưng giải pháp lâu dài đòi hỏi phải suy nghĩ lại cơ bản về các mô hình tin cậy trong một thế giới số.
