ACINQ, Bitcoin Lightning tətbiqindəki üç zəifliyi aradan qaldırmaq üçün sentyabrın 14-də Eclair 0.14.3 versiyasını yayımladığını bildirib. Bu zəifliklərdən biri zərərli kanal tərəfdaşına qarşılıqlı kanal bağlanması zamanı qurbanın yerli balansını mayner komissiyalarına yönəltməyə imkan verə bilərdi.

ACINQ-in açıqlamasına görə, ən ciddi problem qarşılıqlı kanal bağlanmalarına təsir edib. Zərərli qarşı tərəf qurbanın mövcud balansından yüksək bağlanma komissiyası təklif edə, nəticədə bütün yerli balansın mayner komissiyası kimi ödənilməsinə səbəb ola bilərdi. Eclair 0.14.3 indi konfiqurasiya edilmiş maksimumu aşan komissiya təkliflərini rədd edir.

ACINQ həmçinin splicing ilə əlaqəli ikinci qüsuru aradan qaldırıb; splice əməliyyatı tamamlanmamış qaldıqda vəsaitlər əlçatmaz vəziyyətdə qala bilərdi. Üçüncü problem anlıq maliyyələşdirmə ilə bağlı idi və zərərli pul kisəsi ödəniş vaxtını manipulyasiya edə bilərdi. Yenilənmiş proqram təminatı artıq vəsait ayırmazdan əvvəl relay komissiyalarını və müddət buferlərini yoxlayır, həmçinin kanal açılması komissiyaları üçün standart limit əlavə edir.

Şirkət istismarın qarşısını almaq üçün operatorların yeniləmə etməli olduğunu bildirib. Mövcud məlumatda Eclair 0.14.3 versiyasının buraxılışından əlavə rəsmi CVE istinadı və ya təsirlənən versiyaların ətraflı siyahısı yoxdur. Təqdim edilən materialda qüsurların yamaqdan əvvəl real şəraitdə istismar edildiyinə dair təsdiqlənmiş məlumat da yer almır.

Dəstəkləyici materialda istinad edilən müstəqil texniki araşdırma məcburi bağlanma şəraitində zəncirüstü monitorinqlə bağlı Eclair zəifliyini təsvir edir. Nod yalnız yerli öhdəlik vəziyyətindəki HTLC-ləri izləyərsə, açıqlanmış preimage-i aşkar edə bilməyə bilərdi. Bu problem Lightning üçün daha geniş təhlükəsizlik çətinliyinə işarə edir: kanal təhlükəsizliyi tətbiqlərin köhnə, lakin hələ də etibarlı öhdəlik vəziyyətlərini, komissiya yeniləmələrini və zəncirüstü hesablaşmanın kənar hallarını necə idarə etməsindən asılı ola bilər.

Niyə Vacibdir

Bu yamaq vacibdir, çünki Eclair infrastruktur proqramıdır və kanal idarəetməsi qatındakı nasazlıqlar Bitcoin-in özü normal işlədiyi halda belə birbaşa vəsait itkisinə çevrilə bilər. Lightning istifadəçiləri və xidmət operatorları üçün bu xəbər əməliyyat təhlükəsizliyinin təkcə saxlama və açarlardan deyil, həm də müştəri proqramlarının vaxtında yenilənməsindən və bağlanma ssenarilərinin etibarlı idarə olunmasından asılı olduğunu xatırladır.

Bu, həmçinin Lightning tətbiqlərinin komissiya məntiqi və məcburi kanal bağlanması davranışı üzrə müdafiəni gücləndirməsi tendensiyasına əlavə olunur. Daha çox fəaliyyət zəncirdənkənar ödəniş kanallarına etibar etdikcə, tətbiq səviyyəli xətalar proqnozlaşdırıla bilən hesablaşma davranışından asılı olan operatorların, pul kisəsi provayderlərinin və infrastruktur şirkətlərinin daha çox diqqətini cəlb edə bilər.