Eclair 0.14.4 закрывает браузерную атаку на API Lightning-узла

ACINQ выпустила Eclair v0.14.4 — патч безопасности для своего ПО Lightning-узлов биткоина, который не позволяет вредоносной веб-странице незаметно отправлять аутентифицированные команды узлу через браузер самого оператора. Релиз вышел 15 октября, и разработчики «настоятельно рекомендуют обновиться», отмечая, что часть исправленных уязвимостей могут использовать злонамеренные узлы.

Что меняет браузерное исправление

У Eclair есть необязательный HTTP API, через который можно читать состояние узла, открывать и закрывать каналы, отправлять и получать платежи. Согласно заметкам к релизу в пересказе CryptoSlate, риск выглядел так:

• У оператора включён API, доступный из его браузера, и он уже входил через HTTP Basic-аутентификацию — браузер запомнил пароль.
• Враждебная страница отправляет обычную HTML-форму на адрес API узла. Браузер автоматически прикладывает сохранённые учётные данные.
• Злоумышленник не видит ответа, но сама команда до узла доходит — классическая схема подделки межсайтовых запросов (CSRF).

После патча Eclair отвечает HTTP 403 на любой запрос к API с заголовком Origin — независимо от его значения — ещё до обработки запроса. Изменение влили 15 сентября в pull request #3380.

Кого это касается

• Пользователи командной строки: eclair-cli и curl не отправляют заголовок Origin, поэтому обычный доступ из скриптов работает как прежде.
• Браузерные панели управления: любой веб-интерфейс, который обращается к API напрямую — даже размещённый на том же origin, — теперь нуждается в небольшом бэкенде между браузером и Eclair.
• Все: разработчики подчёркивают, что проверка Origin — не аутентификация. Пароль к API должен быть надёжным, а сам API — привязанным к локальной машине (loopback), а не открытым в сеть.

Релиз также включает другие усиления защиты, большинство из них приписывают контрибьютору erickcestari и проекту Loupe. ACINQ сообщает, что версия полностью совместима с предыдущими: остановите узел, обновите и перезапустите — закрывать каналы не нужно. Сообщений об эксплуатации браузерной уязвимости мы не видели.

Почему это важно

Lightning-узлы — это горячие кошельки: ключи, контролирующие средства в каналах, лежат на машине, которая постоянно онлайн, поэтому поверхность атаки вокруг них важнее, чем в холодном хранении. Если технология для вас новая, наш разбор что такое Lightning Network рассказывает о каналах, маршрутизации и рисках. Неконтролируемое ПО рядом с кошельками — тема этой недели: недавно тестовая модель OpenAI потратила тестовые ETH из чужого кошелька.