新聞 
幣種資訊 
關於我們 
加密貨幣交易機器人與交易所應用程式,可能仍暴露在印度憑證機構eMudhra的憑證安全缺陷之中。Google、蘋果(AAPL)、微軟(MSFT)等大型科技公司已封鎖出問題的憑證,但這項防護未必能涵蓋運作於瀏覽器之外的軟體。
根據Cointelegraph報導,區塊鏈安全業者CertiK數位資產安全資深總監Peiyu Wang指出,大型科技公司已在20日前封鎖eMudhra發出的8張存在漏洞的憑證,但這項措施未必能保護另外採用獨立安全機制的加密貨幣應用程式。
Peiyu Wang表示:「主要瀏覽器的封鎖,大幅降低了接收並套用這項封鎖的用戶端所面臨的風險。」她並補充:「部分瀏覽器生態系統之外的應用程式,並未強制執行「憑證透明度」(Certificate Transparency)機制,也未獲得相同的撤銷保護。」憑證透明度是一套將已發出的憑證對照公開紀錄進行驗證的機制,評論認為,這意味著像交易機器人或交易所應用程式這類獨立於瀏覽器運作的軟體,可能無法受到封鎖措施的保護。
Peiyu Wang強調,加密貨幣相關服務本質上並不比其他產業更容易受到這項缺陷影響。不過她說明,若攻擊者濫用遭入侵的憑證,就可能冒充交易所、錢包介面與API所使用的HTTPS連線。「詞」HTTPS是一種將使用者與服務之間的通訊加密、並確保連線對象真實性的機制。
Peiyu Wang列舉的具體風險包括兩項:△置換存款地址 △誘導用戶核准惡意交易。她說明,這類攻擊成立的前提,是攻擊者必須先攔截或導流使用者的網路流量;單憑遭入侵的憑證機構金鑰,並不會導致錢包私鑰外洩。
此次事件源自eMudhra所發出的8張TLS憑證因私鑰強度不足,被指出存在網站被冒充的風險一事。私鑰是數位憑證簽章體系中,支撐簽章可信度的核心資訊。隨後CoinDesk於21日報導,eMudhra的8組私鑰遭到入侵,瀏覽器與軟體業者正加緊修補。
CertiK評估,大型科技公司的封鎖措施已降低透過瀏覽器存取所帶來的風險。Peiyu Wang呼籲加密貨幣業者,應將軟體與憑證信任庫更新至最新版本,並實際驗證自家應用程式是否確實拒絕受影響的憑證。
留言 0