- تحدد أوك سيكيوريتي ثغرة في Cosmos SDK يمكن للمجرمين استغلالها لإجراء هجمات حجب الخدمة الموزعة.
- لاحظ الباحثون أن الثغرة هي ميزة ووصفوا الإصلاحات التي يمكن للمطورين تنفيذها لمعالجة المشكلة.
- أطلقت Cosmos SDK إصدارًا جديدًا يتضمن ميزات وتحديثات تعالج مخاوف المطورين.
أثارت شركة أمان البلوك تشين Oak Security مخاوف بشأن ثغرة في مجموعة تطوير البرامج (SDK) لسلسلة Cosmos قد تؤدي إلى هجوم حجب الخدمة الموزع (DDoS) على الشبكة. في منشور على Medium، شرح باحثان من الشركة، إدوارد كوتيش وكريستيان فاري، سبب كون هذا خطراً كبيراً.
وفقاً لـ الباحثين، تكمن الثغرة في حقيقة أن دالتي BeginBlock و EndBlock لا تخضعان لقياس استهلاك الغاز. هذا مقصود، حيث يسمح للمطورين ببعض وقت الحساب المجاني، لأن هاتين الدالتين لا تؤثران بالضرورة على معاملات المستخدمين.
ومع ذلك، حذر خبراء الأمان من أن ما كان من المفترض أن يكون هامشاً بسيطاً للمطورين يمكن أن يسبب في الواقع ضرراً كبيراً للشبكات القائمة على Cosmos بعدة طرق. وتشمل هذه التسبب في ازدحام الشبكة، والتأثير على المدققين، أو حتى التسبب في انقطاع كامل للخدمة.
قالوا:
قالوا: "هذه الحرية يمكن أن تكون سيفاً ذا حدين، ويمكن أن تفتح صندوق باندورا من الثغرات المحتملة. المشكلة الرئيسية هي أنه بدون حدود للغاز، يمكن للكود غير المحسن أو الخبيث في BeginBlock و EndBlock أن يلحق دماراً حقيقياً".
اختبر الباحثون نظرياتهم حول التأثير المحتمل للثغرة من خلال إجراء تجارب. في إحدى التجارب، أدخلوا تأخيرات عشوائية لدالة BeginBlock عند ارتفاعات كتل مختلفة، تتراوح التأخيرات بين خمس ثوانٍ ودقيقة واحدة.
من التجارب، أكد الخبراء أن التأخيرات أدت إلى ازدحام كبير في الشبكة، مما أبطأ تقدمها وزاد الوقت اللازم لإكمال الكتل. كما أثرت على المدققين، حيث فشل العديد منهم في توقيع الكتل في الأوقات المطلوبة وبعضهم فاتته مراحل التصويت تماماً.
وبطبيعة الحال، فإن العدد المحدود من المدققين المتاحين لتوقيع المعاملات (أقل من ثلثي العدد) يعني أن سلسلة الاختبار عانت من انقطاعات مؤقتة. لاحظ الباحثون أن هذا يمكن أن يؤدي إلى انقطاع كامل في الشبكة الرئيسية نفسها، حيث تحدث عدة معاملات في وقت واحد تحتاج إلى إنهاؤها.
توصي أوك سيكيوريتي المطورين بإجراء إصلاحات
في هذه الأثناء، أوصى خبراء الأمن بحلول لإصلاح الثغرة قبل أن يستغلها طرف ضار. ووفقاً لهم، هناك حاجة إلى تنفيذ حدود حسابية صارمة بحيث لا يتمكن أي شخص ببساطة من إضافة أي متجه هجوم سيؤدي إلى حسابات مفرطة.
حددوا ثلاث طرق مختلفة لتنفيذ هذا الحل. وتشمل هذه إضافة تعقيد الوقت إلى دالتي BeginBlock و EndBlock حتى لا تعمل إلى ما لا نهاية، والتغليف السياقي للحفاظ على العمليات المكثفة للموارد في سياقات مقاسة، والتحقق من صحة جميع المدخلات للدالة.
بالإضافة إلى ذلك، دعوا إلى إجراء اختبارات ومحاكاة أكثر شمولاً لتحديد كيفية استغلال الثغرة وإمكانية تأثيرها.
كما حددوا ضوابط معمارية ومراقبة تشغيلية لضمان عمل الشبكات وفق مقاييس قياسية واكتشاف أي انحراف كبير.
إطلاق Cosmos SDK إصداراً جديداً
في هذه الأثناء، لم يعلق Cosmos SDK بعد على تقرير الأمن عما إذا كان سيتخذ أي إجراء لمعالجة المشكلة من جانبه. قد يكون ذلك لأن الثغرة المحددة هي في الواقع ميزة تصميمية وليست خطأً برمجياً أو برمجية خبيثة، مثل تحذيرات الأمن الأخيرة بشأن هجمات سلسلة التوريد.
لحسن الحظ، يمكن للمطورين الذين يستخدمون Cosmos SDK تنفيذ معظم التوصيات المقدمة من خبراء الأمن، مما يمكنهم من التحكم في ما ينشرونه وضمان عدم تعرضه لهجمات حجب الخدمة الموزعة (DDoS).
ومما يثير الاهتمام، أن Cosmos SDK أطلقت مؤخراً إصدارها v0.53.0. وفقاً للإعلان على X، فإن الإصدار هو استجابة لنقاط الألم التي رفعها المبنون حول الإصدار السابق.
يأتي الإصدار الأحدث reportedly مع معاملات غير مرتبة، وقدرات محسنة لصناديق المجتمع، وآليات حوكمة مخصصة، وفترات زمنية (epochs)، وصياغة مخصصة. كما يأتي مع إصلاحات للأخطاء البرمجية، ويمكن للمطورين بالفعل الترقية إليه على GitHub.
Cosmos SDK هو أداة للمطورين لبناء شبكاتهم المخصصة بسهولة والتكامل مع شبكة Cosmos، وهي شبكة تسعى لتصبح إنترنت البلوكشين.
إذا كنت تقرأ هذا، فأنت متقدّم بالفعل. ابق هناك مع نشرتنا الإخبارية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
