Paisteanna Besu a Leigheasann 5 Leochaileacht Nód: Cad a Chaithfidh Oibreoirí a Bheith ar an Eolas Faoi

Cur Chuige “Paiste ar Dtús” le Buntáiste don Chosantóir

Tá na forbróirí atá taobh thiar den chliant Ethereum Besu foinse oscailte tar éis cúig leochaileacht slándála a d’aimsigh an gnólacht slándála blocshlabhra Certik a leigheas. D’fhoilsigh Besu ceithre chomhairleán slándála mhionsonraithe an 14 Lúnasa a chlúdaigh na cúig leochaileacht, agus réitíodh iad ar fad i leagan 26.7.1, a eisíodh ar dtús an 27 Iúil mar nuashonrú slándála práinneach.

Bhí an mhoill idir an paiste bogearraí a scaoileadh agus sonraí na gcomhairleán a fhoilsiú d’aon ghnó, dar le ceannaireacht slándála.

“Tagann an éifeachtacht ón seicheamhú, seachas ó mhoill a chur ar nochtadh ar a shon féin,” a dúirt Jialiang Chang, stiúrthóir innealtóireachta slándála agus comhpháirtí sinsearach iniúchóireachta ag Certik. “Chuir Besu an eisiúint phaisteáilte ar fáil go déanach i mí Iúil agus mharcáil sé go soiléir é mar rud a thugann aghaidh ar leochaileachtaí slándála, le treoir uasghrádú a dhéanamh a luaithe is féidir.”

Thug Chang faoi deara go dtugann an tsamhail “paiste ar dtús, sonraí ina dhiaidh sin” buntáiste criticiúil do chosantóirí an líonra i gcoinne saothróirí féideartha.

“Tugann an cur chuige sin tús beag teoranta do chosantóirí sula mbíonn meicnic bheacht an ionsaí ar fáil go forleathan,” a mhínigh Chang. “Is féidir le hoibreoirí nód an tréimhse sin a úsáid chun imlonnuithe atá buailte a aithint, measúnú a dhéanamh ar na comhéadan agus na conairí comhthola atá nochta, an eisiúint a thástáil i gcomhshaol stáitse, uasghráduithe a chomhordú ar fud bailitheoirí (validators) nó rannpháirtithe comhaontais, agus nósanna imeachta aisfhillte agus monatóireachta a ullmhú.”

Dar le Chang, tá an fhuinneog ullmhúcháin seo thar a bheith ríthábhachtach do líonraí institiúideacha nó blocshlabhra ceadaithe, áit a n-éilíonn uasghráduithe go minic prótacail fhoirmiúla bainistithe athruithe agus comhordú tras-eagraíochtúil. Laghdaíonn an bhearna nochtaithe rioscaí láithreacha saothraithe “N-day” saothraithe agus í fós gearr go leor chun trédhearcacht don phobal a choinneáil.

Nochtadh na leochaileachtaí ar dtús le linn taighde féintreoraithe a rinne Certik ag úsáid a mhodheolaíochta tástála frithionsaithí “Chain Scan”. Ag oibriú ar líonra tástála príobháideach il-nód gan maoiniú seachtrach ó chliant, instealltaigh taighdeoirí lochtanna rialaithe trasna comhéadan piara-go-piara, HTTP RPC, WebSocket RPC, agus comhéadan atá dírithe ar chomhdhearcadh.

Áiríodh sna torthaí, a rátáil Certik ó mhion go mór ó thaobh déine de, laigí i bpróiseáil fógraí bloic, i maolánú tograí comhthola don airde amach anseo, i dteorainneacha síntiúis WebSocket, agus i gcruthú scagairí JSON-RPC. Mura ndéanfaí aghaidh orthu, d’fhéadfadh na lochtanna ligean d’ionsaitheoir cuimhne an nóid nó acmhainn snáitheanna a ídiú, rud a chuirfeadh bagairt ar infhaighteacht an nóid agus ar phróiseáil comhthola.

Bearnaí i Samhlacha Reatha Tástála Cliant

Chuir Certik ar fáil go príobháideach don fhoireann Besu harnáis tástála inchurtha ar fáil mar chruthúnas coincheapa, rud a chuir ar chumas na gcothaitheoirí na leochaileachtaí a mheas agus a réiteach faoi rún roimh eisiúint. Ina nótaí eisiúna do leagan 26.7.1, ghabh Besu buíochas le Certik agus le Ethereum Foundation Security as a nochtadh freagrach.

Ag tabhairt aghaidh ar an tírdhreach níos leithne d’infreastruchtúr blocshlabhra poiblí, dúirt Chang le Bitcoin.com News go bhfuil an pobal foinse oscailte ag feidhmiú i dtimpeallacht slándála hibrideach.

“Tá an t-éiceachóras ag bogadh go soiléir i dtreo tástála slándála níos foirmiúla,” a dúirt Chang, ag tagairt do chleachtais atá ann cheana féin ar nós fuzzing difreálach, insamhaltaí ar leibhéal an líonra, líonraí ionsaithe príobháideacha, duaiseanna fabht (bug bounties), agus creatlaigh fuzzing devp2p traschliant.

Mar sin féin, thug Chang foláireamh go bhfuil clúdach tástála fós míchothrom ar fud an tionscail.

“Is minic a bhíonn tástáil comhréireachta prótacail agus aistriú staid níos aibí ná tástáil leanúnach ar ídiú acmhainní, coinníollacha rása asincrónacha, iompar piara mailíseach, díghrádú fadtréimhseach, teipeanna glantacháin, agus cumraíochtaí sonracha don imlonnú,” a dúirt Chang. “D’fhéadfadh na teipeanna seo an t-aschur ceart prótacail a tháirgeadh ar dtús agus iad fós ag ligean do ghníomhóir réasúnta ísealchostais tomhaltas cuimhne, snáithe, diosca nó líonra a mhéadú go míréireach.”

Toisc nach féidir le tástáil chothaitheoirí gach veicteoir féideartha a ghabháil, leag Chang béim go bhfuil taighde tríú páirtí fós riachtanach chun dúshlán a thabhairt do toimhdí lasmuigh den ghnáthfhorbairt.

“Is é an tsamhail is aibí ná samhail leanúnach agus charnach: CI agus fuzzing ag cothaitheoirí, tástáil fhrithionsaitheach il-nód, taighde neamhspleách tréimhsiúil, agus tástáil aischéime bhuan nó cás ionsaithe a chur leis do gach leochaileacht deimhnithe,” a dúirt Chang, ag tabhairt faoi deara go bhfuil Certik ag dearadh a ardáin Chain Scan chun tacú leis an tsamhail seo.