Il bug "Bash" è una preoccupazione, ma una minaccia minima per i servizi Bitcoin

Ieri si sono sollevate diffuse preoccupazioni in materia di sicurezza dopo la Da scoprire di un vecchio difetto che potrebbe colpire i server web e i dispositivi connessi a Internet, ma molti nel settore sostengono che non rappresenti una minaccia immediata per i servizi Bitcoin .

La vulnerabilità, soprannominata "Bash Bug" o "Shellshock Bug", consentirebbe un accesso dannoso al sistema operativo di un dispositivo basato su UNIX tramite la shell della riga di comando, la più utilizzata delle quali èbattere.

I sistemi basati su UNIX includono MacOS, le versioni Linux (desktop e server), le piattaforme mobili più diffuse e i sistemi embedded su altri dispositivi che comunicano online.

CNET segnalatoche l'esperto di sicurezza Robert Graham,descrittoè "un problema tanto grande quantoSanguinamento del cuore" – la falla di OpenSSL scoperta ad aprile – data la "enorme percentuale di software che interagisce con la shell".

"Troppo pubblicizzato"

Jeff Garzik

, sviluppatore di Bitcoin CORE e ora ingegnere software senior presso Pagamento tramite BitPay, tuttavia, ha affermato che non esiste un pericolo chiaro e attuale per gli utenti Bitcoin .

"Previsione: il bash bug NON è una minaccia più grande di heartbleed", ha dettopubblicatosu un thread di Reddit.

Garzik ha dichiarato a CoinDesk che, nonostante il bug appena scoperto abbia il potenziale per essere pericoloso, "la maggior parte dei servizi online che utilizzano Bitcoin sono molto più sicuri di un normale router domestico".

Ha aggiunto che il Bash Bug avrebbe avuto un impatto principalmente sui siti non Bitcoin e che era stato sopravvalutato.

"Richiede una serie speciale di condizioni per essere sfruttabile, e i router domestici e gli antichi server web Apache erano già in ogni caso una sicurezza da formaggio svizzero. Penso che l'impatto pratico sarà molto inferiore a quanto i media mainstream stanno facendo credere."

Bitcoin è un obiettivo?

In questa fase, non ci sono segnalazioni di alcun exploit del Bash Bug che abbia interessato alcun servizio correlato a Bitcoin. Quindi perché preoccuparsene?

I servizi Bitcoin potrebbero potenzialmente rappresentare un bersaglio più allettante per hacker e ladri rispetto ai servizi più consolidati basati su valute fiat, come l'online banking e PayPal.

Ciò è dovuto a due ragioni storiche: la scarsa implementazione della sicurezza in alcuni servizi Bitcoin online in fase iniziale e la riluttanza delle autorità a indagare o punire i reati legati alle valute digitali, a meno che non sospettino il coinvolgimento di droga o riciclaggio di denaro.

Pertanto è meglio essere almeno consapevoli dei potenziali problemi che gli sviluppatori e i servizi potrebbero incontrare.

Il punto di vista di ONE scambio

Yan Chuan o 'YC', CTO dello scambioItaliano, ha affermato che il bug era "relativamente facile da sfruttare per gli hacker" e ha raccomandato a tutti gli utenti di applicare patch, eseguire il backup dei registri e controllare i sistemi per verificare se si fosse verificato un attacco.

Poiché il bug consentiva agli hacker malintenzionati di accedere liberamente al sistema operativo, sussisteva il potenziale per qualsiasi tipo di attacco, dal furto di portafogli Bitcoin all'installazione di keylogger e backdoor.

YC ha affermato che il Bitcoin in sé non sarà interessato da questa situazione grazie alla sua struttura decentralizzata.

"Tuttavia, in quanto fornitore centralizzato di servizi di exchange o wallet, è possibile essere colpiti dal bug bash. A causa della presenza di questa vulnerabilità, SSH, HTTP, FTP e altri server applicativi aperti sono tutti a rischio di essere accessibili e controllati da remoto da un hacker."

Poiché Windows non è basato su UNIX, gli utenti desktop non ne sarebbero toccati. La piattaforma di BitBays è pronta, ha continuato YC, ma gli utenti interessati di altre piattaforme potrebbero voler chiedere al loro exchange o servizio wallet informazioni sulla situazione se non sono sicuri.

Guscio rotto

La vulnerabilità Bash Bug deriva da un grave difetto di sicurezza presente nel comando bash (Bourne Again SHell) 'ambiente'. Ha effetto sulla shell locale, così come su SSH, FTP, HTTP e altri servizi importanti.

YC ha spiegato come il bug potrebbe essere sfruttato, dicendo che molti server web inviano le informazioni Request HTTP dell'utente (REMOTE_HOST), REQUEST_METHOD, QUERY-STRING, ETC.) memorizzate in una variabile di ambiente, al framework Web backend o agli script CGI.

Se queste informazioni includono istruzioni dannose, la prossima volta che il server eseguirà bash eseguirà le istruzioni dannose. Quindi, il server è compromesso.

Attualmente, i popolari framework Apache + PHP e Nginx + wsgi sono vulnerabili.

Nessuna soluzione QUICK

Secondo Red Hat, che ha emesso il proprio avviso di sicurezza, molti programmi accedono alla shell bash in background. Diverse distribuzioni Linux hanno già reso disponibili patch, tra cui Red Hat Enterprise Linux, Debian, Ubuntu e CentOS.

Il bug, che in realtà esiste da più di 25 anni prima della pubblicazione delle notizie di oggi, potrebbe colpire milioni di dispositivi e lasciare quelli molto più vecchi bisognosi di patch. È il numero di dispositivi che necessitano di patch, piuttosto che la complessità del difetto o gli exploit noti, a preoccupare alcuni esperti.

Immagine di bug tramiteImmagine