Неисправленные узлы Bitcoin Lightning сталкиваются с ошибкой истощения каналов

Core Lightning, программное обеспечение для работы с узлами Bitcoin Lightning, призывает пользователей установить версию 26.06.10 для устранения уязвимостей в безопасности каналов, разрешении платежей и удаленном доступе.

Сопровождающие также рекомендуют проверить учетные данные, используемые для удаленных команд, сделав ограничения доступа отдельной задачей наряду с обновлением программного обеспечения.

В уведомлении о выпуске рекомендуется обновить программное обеспечение как можно скорее. Сопровождающие временно приостановили тесты исправлений безопасности, чтобы замедлить преобразование патчей в рабочие эксплойты и дать операторам больше времени для обновления.

Новая версия добавляет проверки подписи транзакций партнера во время открытия и сплайсинга каналов с двойным финансированием, в соответствии со спецификацией BOLT 2 протокола Lightning, согласно отмеченному журналу изменений.

Условный контракт на платежи Bitcoin, известный как HTLC, который только что был удален, может быть перепутан с активным, который делит свой хэш платежа, сумму и срок действия. Узел может затем не выполнить активный платеж вверх по цепочке, даже если его партнер все еще может его потребовать.

Еще одно исправление отклоняет открытия каналов, когда партнер предлагает лимит пыли выше 5000 сатоши. Журнал изменений сообщает, что предыдущее поведение позволяло партнеру уменьшить баланс узла до сборов во время принудительного закрытия. Открытия с двойным финансированием также отклоняют лимит пыли партнера, когда он превышает резерв канала.

Двойное финансирование остается экспериментальным, и сопровождающие не рекомендуют каналы с нулевым подтверждением с ненадежными партнерами. Выпуск также отклоняет открытие v2 с нулевым подтверждением, если оператор не настроил прием для этого партнера.

Узлы, которые работали на master, не могут понизить версию до серии 26.06.x, потому что их схема базы данных новее.

GitHub отображает дату выпуска 4 ноября для версии 26.06.10, в то время как отмеченный журнал изменений датирует ту же версию 5 ноября. Выпуск следует за исправлениями безопасности v26.06.9 и отдельным сбоем с триггером, зафиксированным 2 ноября.

Core Lightning: обновите узел, проверьте удаленный доступ

Версия 26.06.10 добавляет проверки программного обеспечения. Сопровождающие также советуют операторам привязать и проверить выданные учетные данные команд.

Установите версию 26.06.10 и проверьте руны команд: привяжите их к целевому узлу и замените учетные данные, которые вы не можете учесть.

• Сопровождающие Core Lightning настоятельно рекомендуют всем пользователям обновиться до версии 26.06.10 как можно скорее; выпуск содержит исправления безопасности и доступен немедленно. Выпуск Core Lightning v26.06.10 и руководство по рунам
• Версия 26.06.10 добавляет проверку tx_signatures партнера во время открытия и сплайсинга каналов с двойным финансированием в соответствии с BOLT 2. Отмеченный журнал изменений v26.06.10: исправления каналов и удаленных команд Выпуск Core Lightning v26.06.10 и руководство по рунам
• Новый выпуск предотвращает обход ограничений руны pname с помощью дублирующих или пунктуационно-варьируемых имен параметров, исправляет сбой команды, вызванный повторным использованием идентификатора команды после неудачной команды, и отклоняет слишком большие руны, а не тратит квадратичное время на их декодирование. Отмеченный журнал изменений v26.06.10: исправления каналов и удаленных команд
• Команда отправляет напрямую подключенному партнеру запрос на выполнение команды; партнер обычно требует руну, авторизующую эту команду. Официальная справка по интерфейсу команд
• Сопровождающие рекомендуют привязывать руны, используемые через команду, к идентификатору узла авторизованного приложения, заносить в черный список руны, которые операторы не могут учесть с помощью blacklistrune, и заменять их более строго ограниченными учетными данными. Выпуск Core Lightning v26.06.10 и руководство по рунам
• Двойное финансирование остается экспериментальным; выпуск не рекомендует каналы с нулевым подтверждением с ненадежными партнерами и отклоняет открытие v2 с нулевым подтверждением, если не настроено для приема от этого партнера. Выпуск Core Lightning v26.06.10 и руководство по рунам Отмеченный журнал изменений v26.06.10: исправления каналов и удаленных команд

Схема выбранных исправлений и практик сопровождения. Это не устанавливает, что каждая учетная запись должным образом ограничена или что произошла эксплуатация.

Метод: Схема двух задокументированных программных поверхностей с выборочными деталями проверки канала и удаленной команды. Стрелки показывают запросы и шаги обслуживания, а не переводы биткойнов, измеренный трафик или тест живого доступа.

Проверьте удаленные команды учетных данных Bitcoin

Интерфейс команд Core Lightning позволяет напрямую подключенному партнеру запросить выполнение команды узлом. Партнеру обычно требуется руна, авторизационный документ, разрешающий команду.

Обновление закрывает способ обхода ограничений руны на имена параметров с помощью дублирующих или пунктуационно-варьируемых имен. Оно также исправляет сбой команды, вызванный повторным использованием идентификатора команды после неудачной команды, и отклоняет слишком большие руны, которые ранее потребляли чрезмерные ресурсы на декодирование.

Сопровождающие рекомендуют привязывать руны, используемые через команду, к идентификатору узла приложения через ограничение id. Они также советуют операторам заносить в черный список руны, которые они не могут учесть, используя blacklistrune, а затем выдавать замены с более строгими ограничениями.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.