Eclair 0.14.4 закриває браузерну атаку на API Lightning-вузла

ACINQ випустила Eclair v0.14.4 — безпековий патч для свого програмного забезпечення Lightning-вузлів біткоїна, який не дає шкідливій вебсторінці непомітно надсилати автентифіковані команди вузлу через браузер самого оператора. Реліз вийшов 15 жовтня, і розробники «наполегливо рекомендують оновитися», зазначаючи, що частину виправлених вразливостей можуть використати зловмисні вузли.

Що змінює браузерне виправлення

Eclair має необов'язковий HTTP API, через який можна читати стан вузла, відкривати й закривати канали, надсилати та отримувати платежі. За нотатками до релізу, які переказує CryptoSlate, ризик виглядав так:

• В оператора увімкнено API, доступний з його браузера, і він уже входив через HTTP Basic-автентифікацію — тож браузер запам'ятав пароль.
• Ворожа сторінка надсилає звичайну HTML-форму на адресу API вузла. Браузер автоматично додає збережені облікові дані.
• Зловмисник не бачить відповіді, але сама команда до вузла доходить — класична схема підробки міжсайтових запитів (CSRF).

Після патча Eclair відповідає HTTP 403 на будь-який запит до API із заголовком Origin — незалежно від його значення — ще до обробки запиту. Зміну влили 15 вересня в pull request #3380.

Кого це стосується

• Користувачі командного рядка: eclair-cli і curl не надсилають заголовок Origin, тож звичайний доступ зі скриптів працює, як і раніше.
• Браузерні панелі керування: будь-який вебінтерфейс, що звертається до API напряму — навіть розміщений на тому самому origin, — тепер потребує невеликого бекенда між браузером і Eclair.
• Усі: розробники наголошують, що перевірка Origin — це не автентифікація. Пароль до API має бути надійним, а сам API — прив'язаним до локальної машини (loopback), а не відкритим у мережу.

Реліз також містить інші посилення захисту, більшість із яких приписують контриб'ютору erickcestari та проєкту Loupe. ACINQ зазначає, що версія повністю сумісна з попередніми: зупиніть вузол, оновіть і перезапустіть — закривати канали не потрібно. Повідомлень про використання браузерної вразливості ми не бачили.

Чому це важливо

Lightning-вузли — це гарячі гаманці: ключі, що контролюють кошти в каналах, лежать на машині, яка постійно онлайн, тож поверхня атаки довкола них важить більше, ніж у холодному зберіганні. Якщо технологія для вас нова, наш пояснювальний матеріал що таке Lightning Network розповідає про канали, маршрутизацію й ризики. Неконтрольоване ПЗ поруч із гаманцями — тема цього тижня: нещодавно тестова модель OpenAI витратила тестові ETH із чужого гаманця.