Les clients Ethereum non corrigés présentent un risque d'attaque de 51 %, selon un rapport

Les clients Ethereum qui n'ont toujours T corrigé les vulnérabilités connues représentent un risque de sécurité pour l'ensemble du réseau, selon une nouvelle étude.

UN rapportLes données de Security Research Labs, qui ont utilisé les données d'ethernodes.org, indiquent qu'un grand nombre de nœuds utilisant les clients les plus populaires Parity et Geth ont été laissés exposés pendant des « périodes prolongées » après la publication de correctifs pour les failles de sécurité.

SRLabs indique avoir signalé en février une vulnérabilité dans le client Parity qui peut exposer les nœuds à un crash à distance.

Le rapport indique :

Selon nos données, seuls les deux tiers des nœuds ont été corrigés à ce jour. Peu après avoir signalé cette vulnérabilité, Parity a publié une alerte de sécurité, exhortant les participants à mettre à jour leurs nœuds.

Un autre correctif, publié le 2 mars, n'a pas non plus été détecté par 30 % des nœuds Parity, indique-t-il, tandis que 7 % des nœuds Parity ont toujours une version vulnérable à une vulnérabilité de consensus critique corrigée en juillet dernier.

Bien que le client Parity dispose d'un processus de mise à jour automatisé, il « souffre d'une grande complexité » et toutes les mises à jour ne sont pas incluses, indique le rapport.

Le scénario du patch pour Geth est encore pire, indique la recherche.

« Selon leurs en-têtes annoncés, environ 44 % des nœuds Geth visibles sur ethernodes.org étaient inférieurs à la version v.1.8.20, une mise à jour critique pour la sécurité, publiée deux mois avant notre mesure », déclare l'équipe SR Labs, notant que Geth n'a pas de fonction de mise à jour automatique, apparemment par conception.

SR Labs poursuit en disant qu'en laissant un grand nombre de clients potentiellement ouverts aux attaques, l'ensemble du réseau Ethereum , qui repose sur la disponibilité élevée des nœuds, est également vulnérable.

Il prévient :

Si un pirate informatique parvient à faire planter un grand nombre de nœuds, il lui sera plus facile de contrôler 51 % du réseau. Par conséquent, les pannes logicielles constituent un grave problème de sécurité pour les nœuds de la blockchain (contrairement à d'autres logiciels où le pirate informatique n'en tire généralement aucun avantage).

Pour résoudre ce problème, l'équipe suggère de mettre en place des processus plus fiables pour la mise à jour automatique des clients. Une décentralisation accrue du réseau Ethereum , en déplaçant la puissance de hachage des mineurs concentrés, serait également utile, ajoute-t-elle, même si cela LOOKS peu probable et qu'une sensibilisation accrue à la sécurité serait essentielle au succès de cette initiative.

Astuce du chapeau :ZDNet

Réseauimage via Shutterstock