1 large

[安全公告] 不安全的 geth 设置导致可以通过远程访问钱包

jan · 于 发布 · 780 次阅读

author: @andy

没有被安全设置的geth,即无防火墙并且账号被解锁的geth可能导致钱包被攻击者远程访问。

受影响的客户端:这个问题是由geth客户端报告出来的。但是包括C++和Python的所有客户端,如果在不安全使用的情况下,在原则上也会出现相同的状况。只有开放了JSONRPC端口给攻击者的节点才会出现安全问题(这样排除了大多数在NAT后面的内部网络上的节点)

可能性:中等

严重性:高

影响:在客户端被导入的以及生成的钱包里的以太丢失。

详细信息:RPC允许你从任何在发送交易之前已经解锁的账户里发送交易。被解锁的账户在整个对话期间将会一直保持解锁状态(无需再次输入密码)。在默认情况下,RPC只能从运行geth的同一台主机进行访问。开放RPC给因特网上的任何人来访问,并且没有设置防火墙规则,这相当于你把钱包打开给了任何知道你的RPC和IP组合的小偷。

对于预期区块链重组深度的影响:无

以太坊采取的补救措施:eth(C++版本客户端)的 RC1版本将会通过要求用户在任何可能的远程交易时候,必须明确授权,来达到完全安全。Geth的后续版本可能会支持此功能。

暂时解决方法的建议:请确保您有一个防火墙在JSONRPC端口(默认为8545)上就位,以防止攻击者使用RPC。

或者,间接的解决方法:不要解锁任何帐户。

修复:待定。

  • 暂无回复。