Pengembang klien Ethereum open-source Besu telah menangani lima kerentanan keamanan yang ditemukan oleh perusahaan keamanan blockchain Certik. Pada 14 Agustus, Besu menerbitkan empat pemberitahuan keamanan terperinci terkait lima kerentanan ini, yang semuanya telah ditangani dalam versi 26.7.1, yang awalnya dirilis pada 27 Juli sebagai pembaruan keamanan mendesak.
Menurut panduan layanan keamanan, penundaan antara rilis patch perangkat lunak dan publikasi detail rekomendasi memang disengaja.
"Efektivitas dicapai melalui urutan tindakan, bukan dengan menunda pengungkapan informasi hanya untuk penundaan itu sendiri," kata Jialiang Chang, Direktur Teknik Keamanan dan Rekan Senior Audit di Certik. "Besu merilis versi yang diperbaiki pada akhir Juli dan dengan jelas menyatakan bahwa versi itu menangani kerentanan keamanan, dengan imbauan untuk segera melakukan pembaruan."
Chang mencatat bahwa model "perbaikan dulu, detail belakangan" memberikan keunggulan waktu yang penting bagi para profesional keamanan jaringan dibandingkan dengan calon penyerang.
"Pendekatan ini memberikan keunggulan waktu kecil kepada para pembela sebelum mekanisme serangan yang tepat tersedia secara luas," jelas Chang. "Operator node dapat menggunakan periode ini untuk mengidentifikasi penyebaran yang terdampak, menilai antarmuka dan jalur konsensus mana yang berisiko, menguji versi di lingkungan pengujian, mengoordinasikan pembaruan di antara validator atau anggota konsorsium, serta menyiapkan prosedur rollback dan pemantauan."
Menurut Chang, periode persiapan ini sangat penting bagi jaringan blockchain institusional atau diizinkan, di mana pembaruan seringkali memerlukan protokol manajemen perubahan formal dan koordinasi antarorganisasi. Penundaan dalam pengungkapan mengurangi risiko penyalahgunaan langsung selama 'hari-N', sementara tetap cukup singkat untuk menjaga transparansi komunitas.
Kerentanan ini awalnya diidentifikasi melalui penelitian mandiri oleh Certik menggunakan metodologi serangan 'Chain Scan' mereka. Dengan bekerja di jaringan pengujian pribadi multi-node tanpa pendanaan eksternal dari klien, para peneliti memperkenalkan kegagalan terkontrol ke dalam antarmuka komunikasi peer-to-peer, HTTP RPC, WebSocket RPC, dan antarmuka terkait konsensus.
Temuan penelitian, yang diklasifikasikan Certik berdasarkan tingkat keparahannya dari ringan hingga serius, mencakup kerentanan dalam penanganan pengumuman blok, buffering proposal konsensus untuk ketinggian masa depan, batasan langganan WebSocket, dan pembuatan filter JSON-RPC. Jika tidak ditangani, kerentanan ini dapat memungkinkan penyerang untuk menghabiskan memori atau sumber daya utas node, sehingga membahayakan ketersediaan node dan proses pencapaian konsensus.
Celah dalam Model Pengujian Klien yang Ada
Certik secara pribadi menyediakan kumpulan uji konsep yang dapat direproduksi kepada tim Besu, memungkinkan pengembang untuk mengevaluasi dan menangani kerentanan secara rahasia sebelum dirilis. Dalam catatan rilis untuk versi 26.7.1, Besu menyampaikan terima kasih kepada Certik dan divisi keamanan Ethereum Foundation atas pengungkapan yang bertanggung jawab.
Berbicara tentang gambaran yang lebih luas dari infrastruktur blockchain publik, Chang memberi tahu Bitcoin.com News bahwa komunitas open-source beroperasi dalam lingkungan keamanan hibrida.
"Ekosistem jelas bergerak menuju pengujian keamanan yang lebih diformalkan," kata Chang, menunjuk pada praktik yang ada seperti differential fuzzing, simulasi tingkat jaringan, jaringan pribadi untuk serangan, program imbalan bug, dan kerangka kerja devp2p-fuzzing antar-klien.
Namun, Chang memperingatkan bahwa cakupan pengujian masih tidak merata di seluruh industri.
"Pengujian kesesuaian protokol dan transisi keadaan seringkali berada pada tahap yang lebih matang dibandingkan dengan pengujian berkelanjutan untuk kehabisan sumber daya, kondisi balapan asinkron, perilaku node yang berbahaya, penurunan kinerja berkepanjangan, kegagalan pembersihan, dan konfigurasi spesifik untuk penyebaran tertentu," catat Chang. "Kegagalan ini awalnya mungkin memberikan output protokol yang benar, sambil memungkinkan penyerang dengan biaya relatif rendah menyebabkan konsumsi memori, utas, ruang disk, atau sumber daya jaringan yang tidak proporsional tinggi."
Karena pengujian yang dilakukan oleh pengembang tidak dapat mengungkap semua vektor serangan potensial, Chang menekankan bahwa penelitian dari pihak ketiga ahli masih memainkan peran penting dalam memvalidasi asumsi di luar pengembangan rutin.
"Model yang lebih matang bersifat terus-menerus dan kumulatif: CI dan fuzzing yang dilakukan pengembang, pengujian serangan multi-node, penelitian independen berkala, serta pengujian regresi berkelanjutan atau skenario serangan yang ditambahkan untuk setiap kerentanan yang dikonfirmasi," kata Chang, mencatat bahwa Certik sedang mengembangkan platform Chain Scan mereka untuk mendukung model ini.
