Ethereum обновляет безопасность: что важно знать пользователям

Важные обновления безопасности для клиентов Ethereum

В ключевых клиентах Ethereum — Teku и Besu — выпущены важные обновления безопасности. В последних версиях из Docker-образов удалены четыре корневых сертификата: emSign ECC Root CA – G3, emSign Root CA – G1, emSign Root CA – G2 и AAA Certificate Services.

Срочное предупреждение для пользователей Docker

Пользователям Docker рекомендуется как можно скорее установить обновления. Изменения реализованы в версиях Teku 26.10.3 и Besu 26.10.2. Однако для тех, кто устанавливает программы через бинарные файлы, необходимо отдельно проверить и обновить Java runtime. Обновление Java на хосте не влияет на runtime внутри контейнера, поэтому требуется дополнительное внимание.

Риски сертификатов и роль eMudhra

Компания eMudhra подтвердила возможность восстановления приватных ключей восьми промежуточных сертификатов emSign G3 и отозвала их после отчёта от 17 октября. Поскольку Java по умолчанию не проверяет отзыв сертификатов, это создает дополнительный риск. Docker-образы Teku и Besu обновляют список доверенных сертификатов Java, чтобы устранить эту уязвимость.

Влияние на пользователей и рекомендации

В Teku отметили, что узлы без HTTPS URL в основной сети не пострадали. Однако системы с устаревшим runtime могут подвергаться атакам, при которых злоумышленники перехватывают HTTPS-соединения. Это представляет угрозу для удалённых подписчиков, beacon-узлов и других сервисов.

Пользователи Besu, устанавливающие через tar/zip, могут продолжать использовать уязвимые версии JDK. Поэтому всем рекомендуется проверить версию Java runtime и при необходимости обновить её.

Значение обновлений для безопасности сети

Эти обновления повышают безопасность Ethereum и защищают данные пользователей. Своевременные действия со стороны пользователей критически важны для сохранения целостности сети. Такие меры не только способствуют развитию технологий, но и укрепляют доверие к ним.