У браузері Эфириума Mist виявлена уразливість

15 грудня в офіційному блозі Фонду Эфириума з’явилося повідомлення про виявлення серйозної уразливості в браузері Эфириума Mist версії 0.9.3 і всіх його попередніх версій. Уразливість виявлена в коді браузера Chromium, який використовується в Mist.

В офіційному гаманці Эфириума Ethereum Wallet уразливості немає. На момент написання статті, ніякої інформації про зломи Mist не надходило.

Як сказано в блозі:

Вразливі конфігурації: Mist browser v0 Beta.93 і нижче;
Вірогідність: середня;
Серйозність проблеми: висока;
При відвідуванні шахрайських сторінок за допомогою Mist можуть бути викрадені закриті ключі.

Оскільки додаток для настільних комп’ютерів Ethereum Wallet не є браузером – це локальний гаманець, то його не стосуються проблеми Mist і розробники рекомендують користуватися ним для транзакцій і взаємодії зі смарт-контрактами.

Історично, офіційний гаманець Эфириума називався Mist, а поділ його на браузер Mist і гаманець Ethereum Wallet відбулося відносно недавно, так що багато користувачів по старій пам’яті називають гаманець і браузер однаково – Mist.

Незважаючи на те, що офіційне повідомлення з’явилося тільки 15 грудня, ще тиждень тому користувачі Mist бачили на його основній сторінці повідомлення про те, що, зважаючи на можливу уразливість, не рекомендується відвідувати невідомі сторінки.

Браузер Mist повинен стати елементом, що об’єднує блокчейн Эфириума і технологічний шар, що становить Web 3.0, і є важливою частиною екосистеми. Правда, останнім часом, більшого поширення набув браузер Metamask, що представляє собою розширення браузера Chrome. На момент написання статті, ніяких коментарів від команди Metamask з приводу ситуації не надходило.

З точки зору безпеки, створення браузера – тобто додатки, завантажує код з невідомого джерела, являє собою складну задачу. Браузер Mist побудований на платформі Electron, в основі якої лежить Chromium. Численні помилки в системі безпеки Chromium фіксуються в кожному новому релізі.

Проміжне програмне забезпечення Electron
забезпечує створення різних кроссплатформенних додатків за допомогою JavaScript. До недавнього часу швидкість оновлення Electron відставала від оновлень Chromium. Тому, основний недолік такої архітектури полягає в тому, що будь-яка виявлена уразливість Chromium знаходиться поза досяжністю команди розробників Mist: спочатку потрібен патч для Cromium, потім Electron повинен оновити свою версію Chromium, і тільки тоді Mist може оновитися до наступної версії Electron.