Besu risolve le vulnerabilità di 5 nodi: cosa devono sapere gli operatori

Un approccio “Patch-First” a vantaggio dei difensori

Gli sviluppatori del client open source di Ethereum Besu hanno risolto cinque vulnerabilità di sicurezza individuate dalla società di sicurezza blockchain Certik. Il 14 agosto Besu ha pubblicato quattro avvisi di sicurezza dettagliati relativi alle cinque vulnerabilità, tutte risolte nella versione 26.7.1, originariamente rilasciata il 27 luglio come aggiornamento di sicurezza urgente.

Il ritardo tra il rilascio della patch software e la pubblicazione dei dettagli dell’avviso era intenzionale, secondo i responsabili della sicurezza. "L’efficacia deriva dalla sequenza delle operazioni, piuttosto che dal ritardare la divulgazione fine a se stessa", ha affermato Jialiang Chang, direttore dell’ingegneria della sicurezza e senior audit partner presso Certik. "Besu ha reso disponibile la versione corretta alla fine di luglio, contrassegnandola chiaramente come risolutiva delle vulnerabilità di sicurezza e fornendo l’istruzione di effettuare l’aggiornamento il prima possibile." Chang ha sottolineato che il modello "prima la patch, poi i dettagli" offre ai difensori della rete un vantaggio fondamentale rispetto ai potenziali autori di attacchi.

“Questo approccio offre ai difensori un leggero vantaggio prima che le precise meccaniche di attacco diventino di dominio pubblico”, ha spiegato Chang. “Gli operatori dei nodi possono utilizzare quel periodo per identificare le implementazioni interessate, valutare quali interfacce e percorsi di consenso siano esposti, testare la versione in ambiente di staging, coordinare gli aggiornamenti tra i validatori o i partecipanti al consorzio e preparare le procedure di rollback e monitoraggio.”

Secondo Chang, questa finestra di preparazione è particolarmente vitale per le reti blockchain istituzionali o autorizzate, dove gli aggiornamenti richiedono spesso protocolli formali di gestione delle modifiche e un coordinamento interorganizzativo. Il lasso di tempo tra la scoperta e la divulgazione riduce i rischi immediati di sfruttamento “N-day”, pur rimanendo sufficientemente breve da mantenere la trasparenza della comunità.

Le vulnerabilità sono state originariamente individuate nel corso di una ricerca autonoma condotta da Certik utilizzando la propria metodologia di test adversarial denominata “Chain Scan”. Operando su una rete di test privata e multinodo senza finanziamenti esterni da parte di clienti, i ricercatori hanno iniettato errori controllati nelle interfacce peer-to-peer, HTTP RPC, WebSocket RPC e in quelle relative al consenso.

I risultati, classificati da Certik in base alla gravità da minori a gravi, includevano punti deboli nell’elaborazione degli annunci di blocco, nel buffering delle proposte di consenso relative all’altezza futura, nei limiti di sottoscrizione WebSocket e nella creazione di filtri JSON-RPC. Se non risolte, queste vulnerabilità potrebbero consentire a un aggressore di esaurire la memoria del nodo o la capacità dei thread, minacciando la disponibilità del nodo e l’elaborazione del consenso.

Lacune negli attuali modelli di test dei client

Certik ha fornito in via riservata al team di Besu una serie di test di prova riproducibili (proof-of-concept), consentendo ai manutentori di valutare e risolvere le vulnerabilità in modo riservato prima del rilascio. Nelle note di rilascio della versione 26.7.1, Besu ha ringraziato sia Certik che Ethereum Foundation Security per le loro segnalazioni responsabili.

Riguardo al panorama più ampio dell’infrastruttura delle blockchain pubbliche, Chang ha dichiarato a Bitcoin.com News che la comunità open source opera in un ambiente di sicurezza ibrido.

«L’ecosistema si sta chiaramente orientando verso test di sicurezza più formalizzati», ha affermato Chang, indicando pratiche esistenti quali il fuzzing differenziale, le simulazioni a livello di rete, le reti di attacco private, i programmi di bug bounty e i framework di fuzzing devp2p cross-client.

Tuttavia, Chang ha avvertito che la copertura dei test rimane disomogenea in tutto il settore. «I test di conformità al protocollo e di transizione di stato sono spesso più maturi rispetto ai test continui relativi all’esaurimento delle risorse, alle condizioni di competizione asincrona, al comportamento malevolo dei peer, al degrado a lungo termine, ai fallimenti di pulizia e alle configurazioni specifiche di distribuzione», ha osservato Chang. «Questi fallimenti possono inizialmente produrre l’output corretto del protocollo, pur consentendo a un attore con costi relativamente bassi di causare un consumo sproporzionato di memoria, thread, disco o rete». Poiché i test effettuati dai manutentori non possono individuare ogni potenziale vettore di attacco, Chang ha sottolineato che la ricerca di terze parti rimane essenziale per mettere in discussione le ipotesi al di fuori dello sviluppo di routine.

"Il modello più maturo è continuo e cumulativo: CI e fuzzing da parte dei manutentori, test avversariali su più nodi, ricerca indipendente periodica e un test di regressione permanente o uno scenario di attacco aggiunto per ogni vulnerabilità confermata", ha affermato Chang, sottolineando che Certik sta progettando la propria piattaforma Chain Scan per supportare questo modello.