قام عميل إيثريوم «بيسو» (Besu) بإصلاح خمس ثغرات أمنية اكتشفتها شركة «سيرتيك» (Certik) في الإصدار 26.7.1، الذي تم إصداره في 27 يوليو. وأكد جياليانغ تشانغ من شركة Certik أن نموذج «التصحيح أولاً، والتفاصيل لاحقًا» يحمي مشغلي العقد من الاستغلالات الفورية التي تستغرق N يومًا، وذلك من خلال السماح بالتجهيز والبدء في التنفيذ قبل أن تصبح تفاصيل الهجوم متاحة للجمهور.
تحديث «بيسو» يعالج 5 ثغرات أمنية في العقد: ما يجب أن يعرفه المشغلون
بقلم
مشاركة
النقاط الرئيسية
- عالج «بيسو» 5 ثغرات اكتشفتها «سيرتيك» في الإصدار 26.7.1، وأرجأ إصدار التنبيهات إلى 14 أغسطس حرصاً على السلامة.
- وأشار جياليانغ تشانغ، شريك Certik، إلى أن فترة الـ18 يومًا منحت مشغلي عقد إيثريوم الوقت الكافي لمنع الاستغلالات التي تستهدف الثغرات التي لم يتم الإبلاغ عنها بعد (N-day).
- تعمل Certik على تحديث Chain Scan لتوسيع نطاق الاختبارات التنافسية متعددة العقد على مدار الساعة طوال أيام الأسبوع عبر شبكات البلوكشين العامة.
نهج «التصحيح أولاً» لتعزيز ميزة المدافعين
قام المطورون المسؤولون عن عميل إيثريوم مفتوح المصدر «بيسو» (Besu) بمعالجة خمسة ثغرات أمنية اكتشفتها شركة «سيرتيك» (Certik) المتخصصة في أمن البلوكشين. ونشرت «بيسو» في 14 أغسطس أربعة تنبيهات أمنية مفصلة تغطي الثغرات الخمس، والتي تم إصلاحها جميعًا في الإصدار 26.7.1، الذي صدر في الأصل في 27 يوليو كتحديث أمني عاجل.
كان التأخير بين إصدار التصحيح البرمجي ونشر تفاصيل التنبيهات مقصودًا، وفقًا لقيادة قسم الأمن.
قال جياليانغ تشانغ، مدير هندسة الأمن وشريك التدقيق الأول في Certik: «تأتي الفعالية من التسلسل، وليس من تأخير الكشف لمجرد التأخير». «أصدرت Besu الإصدار المُصَحَّح في أواخر يوليو ووضحت بوضوح أنه يعالج الثغرات الأمنية، مع توجيه بتحديث البرنامج في أسرع وقت ممكن.»
وأشار تشانغ إلى أن نموذج «التصحيح أولاً، التفاصيل لاحقًا» يمنح المدافعين عن الشبكات ميزة حاسمة على المستغلين المحتملين.
وأوضح تشانغ: «يمنح هذا النهج المدافعين عن الشبكة ميزة مبكرة محدودة قبل أن تصبح آليات الهجوم الدقيقة متاحة على نطاق واسع». «يمكن لمشغلي العقد الاستفادة من تلك الفترة لتحديد عمليات النشر المتأثرة، وتقييم الواجهات ومسارات التوافق المعرضة للخطر، واختبار الإصدار في بيئة تجريبية، وتنسيق عمليات الترقية عبر المصادقين أو المشاركين في الاتحاد، وإعداد إجراءات التراجع والمراقبة».
ووفقًا لتشانغ، فإن فترة الإعداد هذه حيوية بشكل خاص لشبكات البلوكشين المؤسسية أو المرخصة، حيث تتطلب الترقيات غالبًا بروتوكولات رسمية لإدارة التغيير وتنسيقًا عبر المؤسسات. وتقلل فجوة الإفصاح من مخاطر الاستغلال الفوري «في اليوم N» بينما تظل قصيرة بما يكفي للحفاظ على شفافية المجتمع.
تم الكشف عن نقاط الضعف هذه في الأصل خلال بحث ذاتي أجرته شركة Certik باستخدام منهجية الاختبار التنافسي «Chain Scan». وعمل الباحثون على شبكة اختبار خاصة متعددة العقد دون تمويل خارجي من العملاء، حيث قاموا بإدخال أخطاء خاضعة للرقابة عبر واجهات الند للند (peer-to-peer)، وHTTP RPC، وWebSocket RPC، والواجهات المتعلقة بالتوافق.
وشملت النتائج، التي صنّفتها Certik حسب درجة خطورتها من طفيفة إلى خطيرة، نقاط ضعف في معالجة إعلانات الكتل، وتخزين مقترحات التوافق على الارتفاعات المستقبلية مؤقتًا، وحدود الاشتراك في WebSocket، وإنشاء مرشحات JSON-RPC. وإذا تُركت هذه الثغرات دون معالجة، فقد تسمح للمهاجم باستنفاد ذاكرة العقدة أو سعة الخيوط، مما يهدد توفر العقدة ومعالجة التوافق.
ثغرات في نماذج اختبار العملاء الحالية
قدمت Certik لفريق Besu بشكل خاص أدوات اختبار إثبات المفهوم القابلة للتكرار، مما مكن القائمين على الصيانة من تقييم الثغرات الأمنية وحلها بسرية قبل الإصدار. وفي ملاحظات الإصدار 26.7.1، أعربت Besu عن تقديرها لكل من Certik وقسم الأمن في مؤسسة إيثريوم (Ethereum Foundation Security) على إفصاحاتهما المسؤولة.
وفي معرض حديثه عن المشهد الأوسع للبنية التحتية العامة للبلوكشين، قال تشانغ لموقع Bitcoin.com News إن مجتمع البرمجيات مفتوحة المصدر يعمل في بيئة أمنية مختلطة.
وقال تشانغ: «من الواضح أن النظام البيئي يتجه نحو اختبارات أمنية أكثر رسمية»، مشيرًا إلى الممارسات الحالية مثل «التشويش التفاضلي» (differential fuzzing)، والمحاكاة على مستوى الشبكة، وشبكات الهجوم الخاصة، ومكافآت اكتشاف الأخطاء، وأطر عمل «التشويش عبر العملاء» (devp2p fuzzing) المشتركة بين العملاء.
ومع ذلك، حذر تشانغ من أن تغطية الاختبارات لا تزال غير متساوية عبر القطاع.
وأشار تشانغ إلى أن «اختبارات التوافق مع البروتوكول واختبارات انتقال الحالة غالبًا ما تكون أكثر نضجًا من الاختبارات المستمرة لاستنفاد الموارد، وحالات التنافس غير المتزامنة، والسلوك الضار للأقران، والتدهور طويل الأمد، وفشل عمليات التنظيف، والتكوينات الخاصة بالنشر». «قد تنتج عن هذه الإخفاقات مخرجات بروتوكولية صحيحة في البداية، بينما تسمح في الوقت نفسه لجهات فاعلة منخفضة التكلفة نسبيًّا بالتسبب في استهلاك غير متناسب للذاكرة أو مؤشرات الترابط أو القرص أو الشبكة».
ونظرًا لأن اختبارات القائمين على الصيانة لا يمكنها اكتشاف كل ناقلات الهجوم المحتملة، شدد تشانغ على أن أبحاث الأطراف الثالثة تظل ضرورية لتحدي الافتراضات خارج نطاق التطوير الروتيني.
وقال تشانغ: «النموذج الأكثر نضجًا هو النموذج المستمر والتراكمي: التكامل المستمر (CI) والتشويش (fuzzing) من قِبل المسؤولين عن الصيانة، والاختبار التنافسي متعدد العقد، والبحوث المستقلة الدورية، واختبار الانحدار الدائم أو سيناريو الهجوم الذي يُضاف لكل ثغرة أمنية مؤكدة»، مشيرًا إلى أن Certik تعمل على تصميم منصة Chain Scan الخاصة بها لدعم هذا النموذج.
تمت ترجمة هذه المقالة من الإنجليزية باستخدام الذكاء الاصطناعي. النسخة الإنجليزية الأصلية هي المصدر الموثوق؛ وقد تحتوي الترجمات الآلية على أخطاء، لا سيما في المصطلحات القانونية والتنظيمية.
