Radicle şəbəkə protokolunda iki kritik zəifliyi açıqladı

Git üzərində qurulmuş P2P kod əməkdaşlığı platforması Radicle node-larının istifadə etdiyi şəbəkə protokolunda iki kritik zəifliyi açıqladı. İndiyədək buraxılmış bütün versiyalar həssasdır və layihə düzəldilmiş versiya çıxana qədər özəl repozitoriyaların şəbəkədə istifadə edilməməsini tövsiyə edir.

Node nəqli qatındakı iki qüsur

Hər iki problem repo məlumat modelində deyil, node-ların nəqli qatındadır. Birincisi məxfilik qüsuru: node-lar arası trafik açıq mətnlə göndərilir, buna görə şəbəkə yolunu izləyən hər kəs mübadilə olunan obyektləri oxuya bilər. Signed References ötürmə zamanı dəyişiklikləri yenə aşkarlayır, lakin protokolun təmin etməli olduğu şifrələmə yoxdur — bu isə ən çox özəl repozitoriyalara aiddir.

İkinci qüsur bağlantı handshake-i zamanı peer autentifikasiyasının pozulmasıdır və kimlik saxtalaşdırmasına imkan verir: hücumçu node-unuza qoşulub ona aid olmayan Node ID təqdim edə bilər. Özəl repozitoriyalar yalnız icazə siyahısındakı Node ID-lərlə paylaşılır, ona görə saxta Node ID şəbəkə yolunda olmadan özəl repozitoriyanı birbaşa yükləməyə imkan verir.

Qüsurlar birlikdə necə işləyir

Birlikdə isə qat-qat təhlükəlidir — şəbəkə yolundakı hücumçu bağlantının hər iki ucundakı Node ID-ləri görür, ötürülən hər şeyi oxuyur və sonra onlardan biri ilə bütün repozitoriyanı yükləyə bilər. Node-unuzla sinxronlaşdığı node arasındakı yolda olan hər kəs təhlükə altındadır; heç bir parametr və ya icazə siyahısı buna qarşı qorumur. Açıq mətn problemini 24 iyun 2026-da Konstantinos Maninakis, handshake qüsuru isə 12 avqust 2026-da cryptocode bildirib.

İstifadəçilər nə etməlidir

Radicle özəl repozitoriyaların şəbəkə üzərindən istifadəsini müvəqqəti dayandırmağı və onların seeding-ini durdurmağı tövsiyə edir: siyahını rad ls --private --all ilə alın və hər birini rad block <RID> ilə bloklayın. unseed-dən sonra node standart siyasətə — ola bilsin allow — qayıtdığı üçün layihə rad block-a üstünlük verir. Node-u tamamilə dayandıran əmr: rad node stop.

Radicle xəbərdarlıq edir ki, şəbəkə ilə başqa node-a ötürülmüş hər özəl repozitoriya sızmış sayılmalı və içindəki şifrələnməmiş məlumatlar, açarlar və token-lər dəyişdirilməlidir. Tor və I2P kifayət deyil: trafiki yoldakı hücumçudan gizlədir, amma peer saxtalaşdırmasının qarşısını almır.

Düzəliş əsas versiya buraxılışı olacaq

Versiya razılaşdırması olmadığı və düzəliş şəbəkə səviyyəsində uyğunsuz olduğu üçün geriyə uyğun həll mümkün deyil: buraxılış uyğunluğu pozacaq və əsas versiya nömrəsini artıracaq, şəbəkə yenilənmiş və yenilənməmiş hissələrə bölünəcək. Radicle Noise əsaslı protokolunu açıq standartlara dayanan və NAT keçidi təmin edən iroh ilə əvəz edir; saxlama strukturu uyğun qalır.