বেসু ৫টি নোড দুর্বলতার প্যাচ প্রকাশ করেছে: অপারেটরদের যা জানা দরকার

ডিফেন্ডারদের সুবিধা দিতে ‘Patch-First’ পদ্ধতি

ওপেন-সোর্স ইথেরিয়াম ক্লায়েন্ট Besu-এর ডেভেলপাররা ব্লকচেইন নিরাপত্তা প্রতিষ্ঠান সার্টিক আবিষ্কৃত পাঁচটি নিরাপত্তা দুর্বলতা সমাধান করেছেন। Besu ১৪ আগস্ট চারটি বিস্তারিত নিরাপত্তা পরামর্শ প্রকাশ করে, যা পাঁচটি দুর্বলতাকে কভার করে—সবই ২৬.৭.১ সংস্করণে সমাধান করা হয়েছিল; এই সংস্করণটি মূলত ২৭ জুলাই জরুরি নিরাপত্তা আপডেট হিসেবে প্রকাশিত হয়।

নিরাপত্তা নেতৃত্বের মতে, সফটওয়্যার প্যাচ প্রকাশ ও পরামর্শের বিস্তারিত প্রকাশের মধ্যকার বিলম্বটি ইচ্ছাকৃত ছিল।

“কার্যকারিতা আসে সিকোয়েন্সিং থেকে, কেবল প্রকাশ বিলম্বিত করার জন্য বিলম্বিত করা থেকে নয়,” বলেন সার্টিকের সিকিউরিটি ইঞ্জিনিয়ারিং ডিরেক্টর এবং সিনিয়র অডিট পার্টনার জিয়ালিয়াং চ্যাং। “Besu জুলাইয়ের শেষ দিকে প্যাচ করা রিলিজটি উপলব্ধ করে এবং এটিকে নিরাপত্তা দুর্বলতা সমাধানকারী হিসেবে স্পষ্টভাবে চিহ্নিত করে, যত দ্রুত সম্ভব আপগ্রেড করার নির্দেশসহ।”

চ্যাং উল্লেখ করেন, “patch-first, details-later” মডেলটি সম্ভাব্য এক্সপ্লয়টারদের তুলনায় নেটওয়ার্ক ডিফেন্ডারদের একটি গুরুত্বপূর্ণ সুবিধা দেয়।

“এই পদ্ধতিটি ডিফেন্ডারদের একটি সীমিত সময়ের এগিয়ে থাকার সুযোগ দেয়—যখন নির্দিষ্ট আক্রমণ কৌশল ব্যাপকভাবে উপলব্ধ হয়ে ওঠেনি,” চ্যাং ব্যাখ্যা করেন। “নোড অপারেটররা এই সময়টুকু ব্যবহার করে প্রভাবিত ডেপ্লয়মেন্ট শনাক্ত করতে পারে, কোন ইন্টারফেস ও কনসেনসাস পথগুলো উন্মুক্ত তা মূল্যায়ন করতে পারে, স্টেজিং-এ রিলিজটি টেস্ট করতে পারে, ভ্যালিডেটর বা কনসোর্টিয়াম অংশগ্রহণকারীদের মধ্যে আপগ্রেড সমন্বয় করতে পারে, এবং রোলব্যাক ও মনিটরিং প্রক্রিয়া প্রস্তুত করতে পারে।”

চ্যাংয়ের মতে, এই প্রস্তুতির সময়সীমা বিশেষভাবে গুরুত্বপূর্ণ প্রতিষ্ঠানভিত্তিক বা পারমিশনড ব্লকচেইন নেটওয়ার্ক-এর জন্য, যেখানে আপগ্রেডে প্রায়ই আনুষ্ঠানিক চেঞ্জ-ম্যানেজমেন্ট প্রোটোকল এবং প্রতিষ্ঠান-অতিক্রমী সমন্বয় প্রয়োজন হয়। এই প্রকাশ-ফাঁক তাত্ক্ষণিক “N-day” এক্সপ্লয়টেশন ঝুঁকি কমায়, আবার কমিউনিটির স্বচ্ছতাও বজায় রাখতে যথেষ্ট সংক্ষিপ্ত থাকে।

দুর্বলতাগুলো শুরুতে সার্টিকের “Chain Scan” অ্যাডভার্সারিয়াল-টেস্টিং পদ্ধতি ব্যবহার করে স্বপ্রণোদিত গবেষণার মাধ্যমে উন্মোচিত হয়। কোনো বাহ্যিক ক্লায়েন্ট ফান্ডিং ছাড়াই একটি প্রাইভেট, মাল্টি-নোড টেস্ট নেটওয়ার্কে কাজ করে গবেষকরা পিয়ার-টু-পিয়ার, HTTP RPC, WebSocket RPC, এবং কনসেনসাস-ফেসিং ইন্টারফেসগুলোর জুড়ে নিয়ন্ত্রিত ত্রুটি ইনজেক্ট করেন।

সার্টিকের রেটিং অনুযায়ী, যেগুলোর গুরুতরতা মাইনর থেকে মেজর পর্যন্ত ছিল, সেগুলোর মধ্যে ছিল ব্লক-অ্যানাউন্সমেন্ট প্রসেসিং, ফিউচার-হাইট কনসেনসাস প্রপোজাল বাফারিং, WebSocket সাবস্ক্রিপশন সীমা, এবং JSON-RPC ফিল্টার তৈরির দুর্বলতা। এগুলো সমাধান না হলে আক্রমণকারী নোডের মেমরি বা থ্রেড ক্ষমতা নিঃশেষ করতে পারে, ফলে নোডের প্রাপ্যতা এবং কনসেনসাস প্রসেসিং হুমকির মুখে পড়তে পারে।

বর্তমান ক্লায়েন্ট টেস্টিং মডেলে ফাঁকফোকর

সার্টিক Besu টিমকে গোপনে পুনরুত্পাদনযোগ্য প্রুফ-অফ-কনসেপ্ট টেস্ট হারনেস সরবরাহ করে, যাতে মেইনটেইনাররা রিলিজের আগে গোপনীয়ভাবে দুর্বলতাগুলো মূল্যায়ন ও সমাধান করতে পারেন। ২৬.৭.১ সংস্করণের রিলিজ নোটে Besu দায়িত্বশীল প্রকাশের (responsible disclosure) জন্য সার্টিক এবং Ethereum Foundation Security—উভয়কেই স্বীকৃতি দিয়েছে।

পাবলিক ব্লকচেইন ইনফ্রাস্ট্রাকচারের বৃহত্তর প্রেক্ষাপট নিয়ে চ্যাং Bitcoin.com News-কে বলেন, ওপেন-সোর্স কমিউনিটি বর্তমানে একটি হাইব্রিড নিরাপত্তা পরিবেশে কাজ করছে।

“ইকোসিস্টেমটি স্পষ্টতই আরও আনুষ্ঠানিক নিরাপত্তা পরীক্ষার দিকে এগোচ্ছে,” চ্যাং বলেন, ডিফারেনশিয়াল ফাজিং, নেটওয়ার্ক-লেভেল সিমুলেশন, প্রাইভেট অ্যাটাক নেটওয়ার্ক, বাগ বাউন্টি, এবং ক্রস-ক্লায়েন্ট devp2p ফাজিং ফ্রেমওয়ার্কের মতো বিদ্যমান চর্চাগুলোর দিকে ইঙ্গিত করে।

তবে চ্যাং সতর্ক করেন যে, শিল্পজুড়ে টেস্টিং কভারেজ এখনও অসম।

“প্রোটোকল-কনফর্মেন্স এবং স্টেট-ট্রানজিশন টেস্টিং প্রায়ই রিসোর্স এক্সহস্টশন, অ্যাসিঙ্ক্রোনাস রেস কন্ডিশন, ক্ষতিকর পিয়ার আচরণ, দীর্ঘমেয়াদি ডিগ্রেডেশন, ক্লিনআপ ব্যর্থতা, এবং ডেপ্লয়মেন্ট-নির্দিষ্ট কনফিগারেশনের জন্য ধারাবাহিক টেস্টিংয়ের তুলনায় বেশি পরিণত,” চ্যাং বলেন। “এই ব্যর্থতাগুলো শুরুতে সঠিক প্রোটোকল আউটপুট দিতে পারে, কিন্তু তবুও তুলনামূলকভাবে কম খরচের একজন অ্যাক্টরকে অসামঞ্জস্যপূর্ণ মাত্রায় মেমরি, থ্রেড, ডিস্ক বা নেটওয়ার্ক কনজাম্পশন ঘটানোর সুযোগ করে দিতে পারে।”

মেইনটেইনারদের টেস্টিং সব সম্ভাব্য ভেক্টর ধরতে পারে না বলে, চ্যাং জোর দিয়ে বলেন যে রুটিন ডেভেলপমেন্টের বাইরে থাকা অনুমানগুলোকে চ্যালেঞ্জ করতে তৃতীয় পক্ষের গবেষণা অপরিহার্য।

“আরও পরিণত মডেলটি হলো ধারাবাহিক এবং সমষ্টিগত: মেইনটেইনার CI এবং ফাজিং, মাল্টি-নোড অ্যাডভার্সারিয়াল টেস্টিং, পর্যায়ক্রমিক স্বাধীন গবেষণা, এবং প্রতিটি নিশ্চিত দুর্বলতার জন্য একটি স্থায়ী রিগ্রেশন টেস্ট বা অ্যাটাক সিনারিও যোগ করা,” চ্যাং বলেন, এবং উল্লেখ করেন যে সার্টিক তাদের Chain Scan প্ল্যাটফর্মকে এই মডেল সমর্থন করার জন্য ডিজাইন করছে।