Crypto-handelsbots en beursapplicaties kunnen blootgesteld blijven aan een beveiligingsfout in certificaten die verband houdt met het Indiase eMudhra, ondanks noodmaatregelen die door grote technologiebedrijven zijn doorgevoerd, volgens blockchainbeveiligingsbedrijf CertiK.

Dinsdag hadden technologiereuzen waaronder Google, Apple en Microsoft acht kwetsbare certificaten geblokkeerd die door eMudhra waren uitgegeven — certificaten die vervalste versies van legitieme websites mogelijk konden maken, zoals Cointelegraph eerder meldde. Certificaatautoriteiten zoals eMudhra vormen de basis van HTTPS-vertrouwen: het zijn vertrouwde organisaties die de digitale certificaten uitgeven die websites tonen om hun identiteit te bewijzen, en daarom worden onjuist uitgegeven certificaten beschouwd als een beveiligingskwestie voor het hele web. Die oplossingen op browserniveau gelden echter mogelijk niet voor crypto-applicaties die vertrouwen op aparte beveiligingssystemen, vertelde Peiyu Wang, senior director digital assets security bij CertiK, aan Cointelegraph.

"Blokkades door grote browsers verminderen het risico aanzienlijk voor clients die deze ontvangen en afdwingen", zei Wang. "Sommige applicaties buiten de browseromgeving dwingen Certificate Transparency niet af en ontvangen niet dezelfde intrekkingsbeschermingen."

Certificate Transparency is een breed gebruikt raamwerk waarbij browsers websitecertificaten controleren aan de hand van openbare, controleerbare logbestanden, zodat onjuist uitgegeven certificaten kunnen worden gedetecteerd en geblokkeerd. Applicaties die buiten die omgeving opereren, profiteren mogelijk niet van dezelfde waarborgen — een tekortkoming die crypto direct raakt, waar handelsbots en beursapplicaties doorgaans via API's met diensten communiceren in plaats van via een browser.

Wang benadrukte dat cryptodiensten niet inherent vatbaarder zijn voor de fout dan andere sectoren. Desondanks zouden aanvallers gecompromitteerde certificaten kunnen misbruiken om de HTTPS-verbindingen van beurzen, wallet-interfaces en API's te imiteren.

Concreet zouden aanvallers cryptodiensten kunnen imiteren om stortingsadressen te vervangen of gebruikers te misleiden tot het goedkeuren van kwaadaardige transacties, zei Wang. Dergelijke aanvallen vereisen bovendien het onderscheppen of omleiden van het internetverkeer van gebruikers, en de gecompromitteerde sleutels van de certatautoriteit leggen op zichzelf geen privésleutels van wallets bloot.

Wang riep crypto-operatoren op om hun software en certificaat trust stores bij te werken en te verifiëren dat hun applicaties de getroffen certificaten afwijzen — verificatiewerk dat bij elke operator ligt, aangezien de blokkades op browserniveau applicaties buiten die browsers mogelijk niet automatisch bereiken.

Felix Ng droeg bij aan deze berichtgeving.

Bron: Cointelegraph