Aktualizacja Besu usuwa luki w zabezpieczeniach 5 węzłów: co powinni wiedzieć operatorzy

Podejście „Patch-First” zapewniające przewagę obrońcy

Programiści odpowiedzialni za otwartoźródłowego klienta Ethereum o nazwie Besu usunęli pięć luk w zabezpieczeniach wykrytych przez firmę Certik zajmującą się bezpieczeństwem łańcuchów bloków. 14 sierpnia Besu opublikowało cztery szczegółowe komunikaty dotyczące bezpieczeństwa, obejmujące te pięć luk, z których wszystkie zostały usunięte w wersji 26.7.1, pierwotnie wydanej 27 lipca jako pilna aktualizacja zabezpieczeń.

Według kierownictwa ds. bezpieczeństwa opóźnienie między wydaniem poprawki oprogramowania a opublikowaniem szczegółów komunikatu było zamierzone.

„Skuteczność wynika z kolejności działań, a nie z samego opóźniania ujawnienia informacji” – powiedział Jialiang Chang, dyrektor ds. inżynierii bezpieczeństwa i starszy partner audytowy w firmie Certik. „Besu udostępniło poprawioną wersję pod koniec lipca i wyraźnie zaznaczyło, że usuwa ona luki w zabezpieczeniach, zalecając jak najszybszą aktualizację”.

Chang zauważył, że model „najpierw poprawka, potem szczegóły” daje osobom odpowiedzialnym za ochronę sieci kluczową przewagę nad potencjalnymi atakującymi.

„Takie podejście daje osobom odpowiedzialnym za ochronę sieci ograniczoną przewagę, zanim dokładne mechanizmy ataku staną się powszechnie dostępne” – wyjaśnił Chang. „Operatorzy węzłów mogą wykorzystać ten okres na zidentyfikowanie dotkniętych wdrożeń, ocenę, które interfejsy i ścieżki konsensusu są narażone, przetestowanie wersji w środowisku testowym, koordynację aktualizacji wśród walidatorów lub uczestników konsorcjum oraz przygotowanie procedur przywracania poprzedniej wersji i monitorowania”.

Według Changa ten okres przygotowawczy ma szczególne znaczenie dla instytucjonalnych lub sprawnych sieci blockchain, gdzie aktualizacje często wymagają formalnych protokołów zarządzania zmianami oraz koordynacji międzyorganizacyjnej. Okres ujawniania zmniejsza bezpośrednie ryzyko wykorzystania luk w stylu „N-day”, pozostając jednocześnie na tyle krótkim, by zachować przejrzystość społeczności.

Luki w zabezpieczeniach zostały pierwotnie wykryte podczas badań przeprowadzonych samodzielnie przez firmę Certik z wykorzystaniem jej metodologii testów atakujących „Chain Scan”. Działając w prywatnej, wielowęzłowej sieci testowej bez zewnętrznego finansowania ze strony klientów, badacze wprowadzili kontrolowane błędy w interfejsach peer-to-peer, HTTP RPC, WebSocket RPC oraz interfejsach związanych z konsensusem.

Wyniki badań, sklasyfikowane przez firmę Certik według stopnia powagi od niewielkiej do poważnej, obejmowały słabe punkty w przetwarzaniu ogłoszeń o blokach, buforowaniu propozycji konsensusu dotyczących przyszłych wysokości, limitach subskrypcji WebSocket oraz tworzeniu filtrów JSON-RPC. Jeśli luki te nie zostaną usunięte, mogą umożliwić atakującemu wyczerpanie pamięci węzła lub pojemności wątków, zagrażając dostępności węzła i przetwarzaniu konsensusu.

Luki w obecnych modelach testowania klientów

Firma Certik prywatnie udostępniła zespołowi Besu powtarzalne zestawy testowe typu proof-of-concept, umożliwiając opiekunom projektu poufną ocenę i usunięcie luk przed wydaniem aktualizacji. W informacjach o wydaniu wersji 26.7.1 Besu podziękowało zarówno firmie Certik, jak i zespołowi Ethereum Foundation Security za odpowiedzialne ujawnienie luk.

Odnosząc się do szerszego kontekstu publicznej infrastruktury blockchain, Chang powiedział serwisowi Bitcoin.com News, że społeczność open source działa w hybrydowym środowisku bezpieczeństwa.

„Ekosystem wyraźnie zmierza w kierunku bardziej sformalizowanych testów bezpieczeństwa” – powiedział Chang, wskazując na istniejące praktyki, takie jak fuzzing różnicowy, symulacje na poziomie sieci, prywatne sieci ataków, programy nagród za wykrycie błędów oraz frameworki fuzzingowe devp2p obejmujące wielu klientów.

Chang ostrzegł jednak, że zasięg testów w branży pozostaje nierównomierny.

„Testy zgodności z protokołem i testy przejść między stanami są często bardziej dopracowane niż ciągłe testy wyczerpania zasobów, asynchronicznych warunków wyścigu, złośliwego zachowania węzłów, długotrwałej degradacji, błędów czyszczenia oraz konfiguracji specyficznych dla wdrożenia” – zauważył Chang. „Awarie te mogą początkowo generować poprawny wynik protokołu, a jednocześnie pozwalać podmiotowi o stosunkowo niskich kosztach na powodowanie nieproporcjonalnego zużycia pamięci, wątków, dysku lub sieci”.

Ponieważ testy przeprowadzane przez opiekunów nie są w stanie wychwycić wszystkich potencjalnych wektorów ataku, Chang podkreślił, że badania prowadzone przez podmioty zewnętrzne pozostają niezbędne do weryfikacji założeń wykraczających poza rutynowy proces rozwoju.

„Bardziej dojrzały model ma charakter ciągły i kumulacyjny: ciągła integracja (CI) i fuzzing przeprowadzane przez opiekunów, wielowęzłowe testy atakowe, okresowe niezależne badania oraz stały test regresyjny lub scenariusz ataku dodawany dla każdej potwierdzonej luki” – powiedział Chang, zaznaczając, że firma Certik projektuje swoją platformę Chain Scan tak, aby wspierała ten model.