Consensys предупредила узлы Besu о ключах eMudhra

Consensys предупредила операторов узлов Ethereum, что некоторые конфигурации её клиента исполнения Besu и удалённого подписанта Web3Signer всё ещё можно обмануть сертификатами, созданными со скомпрометированными ключами eMudhra, пишет The Defiant. Стандартные установки не затронуты, говорят команды, но отдельные настройки нужно менять уже сейчас.

Это продолжение истории о компрометации сертификатов eMudhra: восемь промежуточных ключей индийского удостоверяющего центра оказались крайне слабыми.

Почему слабое место — Java

• Besu и Web3Signer написаны на Java, а их Docker-образы содержат среду Eclipse Temurin.
• У Java собственный список доверенных корневых сертификатов, и по умолчанию она не проверяет, отозван ли сертификат. Браузеры заблокировали плохие промежуточные сертификаты eMudhra за несколько дней, а Java без октябрьских исправлений OpenJDK (CVE-2026-91403 и CVE-2026-114820) всё ещё может их принять — так резюмирует предупреждения трекер инцидентов pwn.watch.

Какие конфигурации под угрозой

• Высокий риск: узлы Besu, запущенные с --rpc-http-tls-ca-clients-enabled, что пускает к JSON-RPC API любого клиента с сертификатом, подписанным CA. Злоумышленник может выпустить такой сертификат, ничего не перехватывая.
• Риск перехвата: функции, загружающие данные по https:// или wss:// — импорт истории ERA1, HTTPS-бутноды, ethstats, OpenTelemetry и Pyroscope, а также удалённые хранилища ключей в Web3Signer, — может подделать тот, кто контролирует сетевой путь.
• Доступ к Web3Signer: операторам, которые пускают клиентов через --tls-allow-ca-clients или --tls-allow-any-client, советуют перейти на явный список --tls-known-clients-file. Удалённый подписант хранит ключи валидаторов, поэтому важно, кто может к нему обращаться.

Что делать операторам

1. Обновить Java (или образ клиента) до сборки с исправлениями по eMudhra.
2. Если пока нельзя — удалить корни eMudhra из хранилища cacerts или включить проверку отзыва, как описано в рекомендациях Oracle.
3. Заменить доверие к CA на файл известных клиентов и не открывать порты RPC и подписанта в интернет.

Домашним стейкерам со стандартными настройками паниковать не стоит: это обычное обслуживание, о котором говорится в нашем гайде о стейкинге криптовалют. Сама eMudhra извинилась, объяснив слабые ключи ошибкой скрипта, и пообещала независимую проверку и публичный отчёт о причинах.