„Core Lightning“ pataiso kritinius saugumo trūkumus ir „Bitcoin“ mokėjimo klaidą
„Core Lightning“, programinė įranga, skirta „Bitcoin Lightning“ mokėjimo mazgams paleisti, išleido 26.06.9 versiją su saugos pataisymais ir regresijos pataisymu, galinčiu atitolinti kanalo srautą užimtuose mazguose, kuriuose veikia 26.06.8 versija.
„GitHub“ nurodo naują leidimą, paskelbtą spalio 7 d., o jo versijų pakeitimų žurnale nurodyta spalio 6 d.
Atnaujinimas suteikia operatoriams, įdiegusiems 26.06.8 versiją, naują sprendimą dėl naujovinimo, nes rugsėjo 27 d. Naujausia pataisa prideda pataisymų ir pašalina regresiją, kurią įvedė vėlesnė versija.
Bitcoin mokėjimo vėlavimai ir išjungimo rizika
26.06.8 versijos įprastos paskalos, ping ir svogūnų pranešimai įskaičiuojami į CPU biudžetą, skirtą paskalų užklausoms. Pasak prižiūrėtojų, užimtuose mazguose ši apskaita gali slopinti bendraamžius ir uždelsti kanalo srautą.
V26.06.9 šis biudžetas pasilieka apkalbų užklausoms, todėl įprasti pranešimai jo nebenaudoja, todėl pašalinama dokumentuota šio slopinimo priežastis. Prižiūrėtojų aprašyta regresija susijusi su užimtais mazgais, kuriuose veikia Core Lightning v26.06.8.
Pakeitimų žurnale taip pat aprašomas mokėjimo sutarties (HTLC), kurios terminas baigiasi, kai kanalas išjungiamas, pataisymas. V26.06.9 dabar priverstinai uždaro kanalą tokioje situacijoje, kad nebūtų prarastos perduotos lėšos, jei mokėjimas įvykdomas pavėluotai.
Mokėjimus persiunčiančiam operatoriui tai išsprendžia lėšų apsaugos problemą, kai mokėjimo terminai ir kanalo išjungimas sutampa.
Kiti pataisymai įgyvendina runų, naudojamų skambučiams autorizuoti, apribojimus, todėl apribota runa nebegali sukurti neribotos runos arba iš naujo įtraukti runų į juodąjį sąrašą. Atitinkamų kūrimo ir blokavimo metodų apribojimai dabar taip pat apima invokerune ir destroyrune slapyvardžiai.
The listconfigs komanda dabar užmaskuoja keletą jautrių verčių, įskaitant atkūrimo informaciją ir Bitcoin RPC slaptažodžius, kiekvienam skambinančiam asmeniui. The setconfig komanda uždaro konfigūracijos eilučių įvedimo kelią per nuolatines parinkčių reikšmes.
Pataisymai pasiekiami iš karto, tačiau prižiūrėtojai laikinai sustabdė saugos testus, kad apsunkintų išnaudojimo kūrimą ir suteiktų operatoriams daugiau laiko atnaujinti.
Mazgai, kurie paleido pagrindinį, negali grįžti į 26.06.x versiją, nes jų duomenų bazės schema yra naujesnė. Leidinyje taip pat pakartojama, kad dvigubas finansavimas išlieka eksperimentinis ir atgraso nuo nulinio patvirtinimo kanalų su nepatikimais bendraamžiais.
Prižiūrėtojai ragina „Core Lightning“ vartotojus, įskaitant tuos, kurie naudoja 26.06.8 versiją, kuo greičiau atnaujinti į 26.06.9 versiją.
