Besu แพตช์ช่องโหว่ของโหนด 5 รายการ: สิ่งที่ผู้ปฏิบัติการต้องรู้

แนวทาง “แพตช์ก่อน” เพื่อความได้เปรียบของฝ่ายป้องกัน

นักพัฒนาที่อยู่เบื้องหลัง ไคลเอนต์ Ethereum Besu แบบโอเพ่นซอร์ส ได้แก้ไขช่องโหว่ด้านความปลอดภัย 5 รายการที่ค้นพบโดยบริษัทความปลอดภัยบล็อกเชน Certik โดย Besu ได้เผยแพร่คำแนะนำด้านความปลอดภัยแบบละเอียด 4 ฉบับเมื่อวันที่ 14 ส.ค. ครอบคลุมช่องโหว่ทั้ง 5 รายการ ซึ่งทั้งหมดได้รับการแก้ไขแล้วใน เวอร์ชัน 26.7.1 ที่เดิมปล่อยเมื่อวันที่ 27 กรกฎาคมในฐานะอัปเดตความปลอดภัยเร่งด่วน

ตามคำกล่าวของฝ่ายผู้นำด้านความปลอดภัย การหน่วงเวลาระหว่างการปล่อยแพตช์ซอฟต์แวร์กับการเผยแพร่รายละเอียดคำแนะนำเป็นไปโดยตั้งใจ

“ประสิทธิผลมันมาจากลำดับขั้นตอน ไม่ใช่จากการเลื่อนการเปิดเผยเพื่อการเลื่อนโดยตัวมันเอง” Jialiang Chang ผู้อำนวยการฝ่ายวิศวกรรมความปลอดภัยและพาร์ทเนอร์อาวุโสด้านการตรวจสอบของ Certik กล่าว “Besu ทำให้รีลีสที่แพตช์แล้วพร้อมใช้งานตั้งแต่ปลายเดือนกรกฎาคม และระบุอย่างชัดเจนว่าเป็นการแก้ไขช่องโหว่ด้านความปลอดภัย พร้อมคำแนะนำให้อัปเกรดโดยเร็วที่สุด”

Chang ระบุว่าโมเดล “แพตช์ก่อน รายละเอียดทีหลัง” ทำให้ผู้ป้องกันเครือข่ายได้เปรียบเชิงวิกฤตเหนือผู้ที่อาจนำไปใช้โจมตี

“แนวทางนั้นทำให้ฝ่ายป้องกันมีช่วงนำเล็กน้อยก่อนที่กลไกการโจมตีอย่างแม่นยำจะถูกเผยแพร่อย่างกว้างขวาง” Chang อธิบาย “ผู้ดูแลโหนดสามารถใช้ช่วงเวลานั้นเพื่อระบุการติดตั้งที่ได้รับผลกระทบ ประเมินว่าอินเทอร์เฟซและเส้นทางฉันทามติใดเปิดรับความเสี่ยง ทดสอบรีลีสในสภาพแวดล้อมสเตจ ประสานการอัปเกรดระหว่างผู้ตรวจสอบความถูกต้อง (validators) หรือผู้เข้าร่วมคอนซอร์เทียม และเตรียมขั้นตอนการย้อนกลับ (rollback) และการเฝ้าระวัง (monitoring)”

ตามคำกล่าวของ Chang ช่วงเวลาเตรียมการนี้สำคัญเป็นพิเศษสำหรับเครือข่ายสถาบันหรือ เครือข่ายบล็อกเชนแบบมีสิทธิ์ (permissioned) ซึ่งการอัปเกรดมักต้องใช้โพรโทคอลการจัดการการเปลี่ยนแปลงอย่างเป็นทางการและการประสานงานข้ามองค์กร ช่องว่างในการเปิดเผยช่วยลดความเสี่ยงการถูก โจมตีแบบ “N-day” ในทันที ขณะเดียวกันก็สั้นพอที่จะคงไว้ซึ่งความโปร่งใสต่อชุมชน

ช่องโหว่เหล่านี้ถูกค้นพบระหว่างการวิจัยที่ Certik ดำเนินการเอง โดยใช้ระเบียบวิธีทดสอบเชิงปฏิปักษ์ “Chain Scan” ด้วยการทำงานบนเครือข่ายทดสอบส่วนตัวแบบหลายโหนดโดยไม่มีทุนสนับสนุนจากไคลเอนต์ภายนอก นักวิจัยได้ฉีดความผิดพลาดที่ควบคุมได้ผ่านอินเทอร์เฟซแบบเพียร์ทูเพียร์, HTTP RPC, WebSocket RPC และอินเทอร์เฟซที่เกี่ยวข้องกับฉันทามติ

ผลการค้นพบซึ่ง Certik จัดระดับความรุนแรงตั้งแต่เล็กน้อยถึงร้ายแรง รวมถึงจุดอ่อนในกระบวนการประมวลผลการประกาศบล็อก การบัฟเฟอร์ข้อเสนอฉันทามติที่มีความสูงในอนาคต ขีดจำกัดการสมัครสมาชิก WebSocket และการสร้างฟิลเตอร์ JSON-RPC หากปล่อยไว้โดยไม่แก้ไข ข้อบกพร่องอาจทำให้ผู้โจมตีทำให้หน่วยความจำของโหนดหรือความสามารถของเธรดหมดลง กระทบต่อความพร้อมใช้งานของโหนดและการประมวลผลฉันทามติ

ช่องว่างในโมเดลการทดสอบไคลเอนต์ปัจจุบัน

Certik ได้ส่งมอบชุดทดสอบ proof-of-concept ที่ทำซ้ำได้ให้ทีม Besu เป็นการส่วนตัว ทำให้ผู้ดูแลสามารถประเมินและแก้ไขช่องโหว่ได้อย่างเป็นความลับก่อนการปล่อยรีลีส ในบันทึกการปล่อยเวอร์ชัน 26.7.1 Besu ได้ยกย่องทั้ง Certik และ Ethereum Foundation Security สำหรับการเปิดเผยอย่างมีความรับผิดชอบ

เมื่อกล่าวถึงภาพรวมที่กว้างขึ้นของโครงสร้างพื้นฐานบล็อกเชนสาธารณะ Chang บอกกับ Bitcoin.com News ว่าชุมชนโอเพ่นซอร์สกำลังดำเนินการอยู่ในสภาพแวดล้อมความปลอดภัยแบบไฮบริด

“ระบบนิเวศกำลังเคลื่อนไปสู่การทดสอบความปลอดภัยที่เป็นทางการมากขึ้นอย่างชัดเจน” Chang กล่าว โดยชี้ถึงแนวปฏิบัติที่มีอยู่แล้ว เช่น differential fuzzing การจำลองระดับเครือข่าย เครือข่ายโจมตีแบบส่วนตัว โปรแกรมบั๊กบาวน์ตี้ และเฟรมเวิร์ก fuzzing แบบข้ามไคลเอนต์สำหรับ devp2p

อย่างไรก็ตาม Chang เตือนว่าความครอบคลุมของการทดสอบยังไม่สม่ำเสมอทั่วทั้งอุตสาหกรรม

“การทดสอบความสอดคล้องกับโปรโตคอลและการเปลี่ยนสถานะ (state-transition) มักพัฒนามากกว่าการทดสอบอย่างต่อเนื่องสำหรับการทำให้ทรัพยากรหมด (resource exhaustion) เงื่อนไขการแข่งขันแบบอะซิงโครนัส พฤติกรรมเพียร์ที่เป็นอันตราย การเสื่อมสภาพระยะยาว ความล้มเหลวในการทำความสะอาด และการกำหนดค่าที่เฉพาะเจาะจงต่อการติดตั้ง” Chang กล่าว “ความล้มเหลวเหล่านี้อาจให้ผลลัพธ์ของโปรโตคอลที่ถูกต้องในช่วงแรก ขณะที่ยังเปิดช่องให้ผู้โจมตีต้นทุนต่ำสร้างการใช้หน่วยความจำ เธรด ดิสก์ หรือเครือข่ายอย่างไม่สมส่วนได้”

เนื่องจากการทดสอบของผู้ดูแลไม่สามารถจับทุกเวกเตอร์ที่เป็นไปได้ Chang จึงเน้นย้ำว่า งานวิจัยจากบุคคลที่สาม ยังคงจำเป็นเพื่อท้าทายสมมติฐานนอกเหนือจากการพัฒนาตามปกติ

“โมเดลที่สุกงอมกว่าคือแบบต่อเนื่องและสะสม: CI และ fuzzing ของผู้ดูแล การทดสอบเชิงปฏิปักษ์แบบหลายโหนด งานวิจัยอิสระเป็นระยะ และการเพิ่มการทดสอบถดถอย (regression test) หรือสถานการณ์การโจมตีแบบถาวรสำหรับทุกช่องโหว่ที่ยืนยันแล้ว” Chang กล่าว พร้อมระบุว่า Certik กำลังออกแบบแพลตฟอร์ม Chain Scan เพื่อรองรับโมเดลนี้