قام المطورون القائمون على عميل إيثريوم مفتوح المصدر “بيزو” بمعالجة خمس ثغرات أمنية اكتشفتها شركة أمن البلوكشين “سيرتيك”. نشرت بيزو أربعة تنبيهات أمنية مفصلة في 14 أغسطس تغطي الثغرات الخمس، وتم إصلاحها جميعًا في الإصدار 26.7.1، الذي صدر في 27 يوليو كتحديث أمني عاجل.
كان التأخير بين إصدار التصحيح البرمجي ونشر تفاصيل التنبيهات قرارًا مقصودًا، وفقًا لقادة الأمن.
“تكمن الفعالية في التسلسل الزمني، وليس في تأجيل الكشف بحد ذاته”؛ قال جياليانغ تشانغ، مدير هندسة الأمن والشريك الرئيسي للتدقيق في سيرتيك. “أصدرت بيزو الإصدار المُصحح في أواخر يوليو وأوضحت بوضوح أنه يعالج ثغرات أمنية، مع تعليمات بالترقية في أقرب وقت ممكن.”
أشار تشانغ إلى أن نموذج “الإصلاح أولاً، التفاصيل لاحقًا” يمنح مدافعي الشبكات ميزة حاسمة على المستغلين المحتملين.
“هذا النهج يمنح المدافعين بداية محدودة قبل أن تصبح آليات الهجوم الدقيقة متاحة على نطاق واسع”؛ أوضح تشانغ. “يمكن لمشغلي العقد استخدام هذه الفترة لتحديد الأنظمة المتأثرة، وتقييم الواجهات ومسارات الإجماع المكشوفة، واختبار الإصدار في بيئة تجريبية، وتنسيق عمليات الترقية عبر المدققين أو المشاركين في الكونسورتيوم، والاستعداد لإجراءات التراجع والمراقبة.”
وفقًا لتشانغ، تعتبر هذه النافذة التحضيرية حيوية بشكل خاص لشبكات البلوكشين المؤسسية أو المصرح بها، حيث تتطلب الترقيات غالبًا بروتوكولات رسمية لإدارة التغيير وتنسيقًا عبر المؤسسات. فجوة الإفصاح تقلل من مخاطر الاستغلال الفوري “N-day” مع بقائها قصيرة بما يكفي للحفاظ على شفافية المجتمع.
تم اكتشاف الثغرات في الأصل خلال أبحاث ذاتية أجريتها سيرتيك باستخدام منهجية الاختبار العدائي “Chain Scan”. عمل الباحثون على شبكة اختبار خاصة متعددة العقد دون تمويل خارجي من العملاء، وحقنوا أعطالًا خاضعة للتحكم عبر واجهات نظير-لنظير، وHTTP RPC، وWebSocket RPC، والواجهات الموجهة للإجماع.
شملت النتائج، التي صنفتها سيرتيك من البسيطة إلى الرئيسية من حيث الخطورة، نقاط ضعف في معالجة إعلانات الكتل، وتخزين مقترحات الإجماع المستقبلية، وحدود اشتراكات WebSocket، وإنشاء فلاتر JSON-RPC. إذا تُركت هذه الثغرات دون معالجة، فقد تسمح للمهاجم باستنزاف ذاكرة العقدة أو سعة الخيوط، مما يهدد توفر العقدة وعمليات الإجماع.
فجوات في نماذج اختبار العملاء الحالية
قدمت سيرتيك لفريق بيزو بشكل خاص أدوات اختبار قابلة للتكرار تثبت صحة الثغرات، مما مكّن المشرفين من تقييم وحل الثغرات بسرية قبل الإصدار. في ملاحظات إصدار 26.7.1، أشادت بيزو بسيرتيك ومؤسسة إيثريوم الأمنية لإفصاحاتهما المسؤولة.
في معالجة المشهد الأوسع للبنية التحتية العامة للبلوكشين، أخبر تشانغ موقع Bitcoin.com News أن المجتمع مفتوح المصدر يعمل في بيئة أمنية هجينة.
“يتحرك النظام البيئي بوضوح نحو اختبارات أمنية أكثر رسمية”؛ قال تشانغ، مشيرًا إلى الممارسات الحالية مثل التمييز التفاضلي، والمحاكاة على مستوى الشبكة، وشبكات الهجوم الخاصة، وأطر التمييز عبر العملاء.
ومع ذلك، حذر تشانغ من أن التغطية الاختبارية لا تزال غير متكافئة عبر الصناعة.
“اختبارات الامتثال للبروتوكول وانتقالات الحالة غالبًا ما تكون أكثر نضجًا من الاختبارات المستمرة لاستنزاف الموارد، وظروف السباق غير المتزامنة، وسلوك الأقران الخبيث، والتدهور طويل الأمد، وفشل التنظيف، والتكوينات الخاصة بالاستخدام”؛ لاحظ تشانغ. “هذه الإخفاقات قد تنتج مخرجات بروتوكول صحيحة في البداية مع السماح لمهاجم منخفض التكلفة بالتسبب في استهلاك غير متناسب للذاكرة أو الخيوط أو القرص أو الشبكة.”
نظرًا لأن اختبارات المشرفين لا يمكنها اكتشاف كل ناقل محتمل، أكد تشانغ أن الأبحاث الخارجية تظل ضرورية لتحدي الافتراضات خارج التطوير الروتيني.
“النموذج الأكثر نضجًا هو المستمر والتراكمي: CI والتمييز للمشرفين، والاختبار العدائي متعدد العقد، والأبحاث المستقلة الدورية، واختبار تراجع دائم أو سيناريو هجوم يُضاف لكل ثغرة مؤكدة”؛ قال تشانغ، مشيرًا إلى أن سيرتيك تصمم منصة Chain Scan لدعم هذا النموذج.
الأسئلة الشائعة
س: ما هي الثغرات التي تم إصلاحها في تحديث بيزو 26.7.1؟
ج: تم إصلاح خمس ثغرات أمنية اكتشفتها سيرتيك، شملت نقاط ضعف في معالجة إعلانات الكتل، وتخزين مقترحات الإجماع المستقبلية، وحدود اشتراكات WebSocket، وإنشاء فلاتر JSON-RPC. كانت هذه الثغرات قد تسمح للمهاجم باستنزاف موارد العقدة وتهديد توفرها.
س: لماذا تم تأخير نشر تفاصيل الثغرات بعد إصدار التصحيح؟
ج: يتبع نموذج “الإصلاح أولاً، التفاصيل لاحقًا” استراتيجية أمنية متعمدة تمنح مشغلي العقد وقتًا كافيًا لتطبيق الترقية قبل أن تصبح آليات الهجوم الدقيقة معروفة على نطاق واسع، مما يقلل من مخاطر الاستغلال الفوري.
س: ما أهمية الاختبارات الأمنية الخارجية للبلوكشين؟
ج: الاختبارات الخارجية المستقلة مثل منهجية Chain Scan ضرورية لاكتشاف الثغرات التي قد تفوتها اختبارات المطورين الروتينية، خاصة في مجالات استنزاف الموارد، والظروف غير المتزامنة، وسلوك الأقران الخبيث، مما يعزز الأمان العام للشبكة.
