Eclair v0.14.4, tarayıcı üzerinden düğüm API’sine komut gönderilmesini engelliyor

Lightning düğüm yazılımı Eclair, tarayıcıda kayıtlı kimlik doğrulama bilgilerinin kötüye kullanılarak düğüm API’sine komut gönderilmesine yol açan yolu kapattı. Yeni sürüm tarayıcı isteklerini reddediyor; ancak API kimlik doğrulaması ve ağ erişimi kısıtlamaları hâlâ gerekli.

Geliştirici ACINQ, Eclair v0.14.4’ü 15 Ekim’de yayımladı. Bu sürüm, istekte Origin başlığı varsa değeri ne olursa olsun API işlemeden önce HTTP 403 yanıtı veriyor. Eclair’in resmi API belgeleri, bu başlığın tarayıcı tarafından ayarlandığını ve ilgili isteklerin reddedilmesinin siteler arası istek sahteciliğini (CSRF) önlediğini açıklıyor. Sürüm notlarına göre v0.14.4 önceki sürümlerle uyumlu.

Sorun, tarayıcının kayıtlı HTTP Basic kimlik doğrulama bilgilerini başka bir siteden başlatılan isteklere de ekleyebilmesinden kaynaklanıyordu. Kullanıcı kötü amaçlı bir sayfayı açtığında bu sayfa Eclair API’sine istek göndererek düğüme komut iletebiliyordu. Kötü amaçlı sayfa yanıt içeriğini okuyamasa bile istek düğüme ulaşabiliyordu.

Eclair API’si düğüm durumunu sorgulamanın yanı sıra Lightning kanalı açma ve kapatma, ödeme gönderme ve alma işlevleri de sunuyor. Bu nedenle API’nin etkin olduğu, işletmecinin tarayıcısının API’ye erişebildiği ve kimlik doğrulama bilgilerinin kayıtlı bulunduğu ortamlar risk koşullarını taşıyor. Doğrulanmış bir mağdur sayısı veya gerçek bir kötüye kullanım vakası bildirilmedi.

Değişiklik, API’yi tarayıcıdan doğrudan çağıran web arayüzlerini de etkiliyor. Aynı kaynaktan sunulan bir ön yüz bile tarayıcı üzerinden API’yi doğrudan çağıramıyor; bu nedenle işletmecilerin tarayıcı ile Eclair arasına ayrı bir arka uç koyması gerekiyor. Buna karşılık curl veya eclair-cli gibi yaygın istemciler Origin başlığı göndermediğinden API, komut satırından eskisi gibi kullanılabiliyor.

Origin başlığını engellemek, tarayıcı aracılığıyla gelen istekleri filtreleyen bir önlem. Tarayıcı dışındaki istemciler bu başlığı göndermeyebilir; dolayısıyla başlığın bulunmaması tek başına isteğin güvenilir olduğu anlamına gelmiyor. ACINQ, bu değişikliğin kimlik doğrulamanın yerini almadığını belirtti.

ACINQ’nin yapılandırma belgeleri API’nin dış ağlara açılmamasını öneriyor. API varsayılan olarak devre dışı ve varsayılan bağlama adresi yerel ana makine olan 127.0.0.1. İşletmecilerin bu ayarı ve kimlik doğrulamayı koruması gerekiyor. v0.14.4’e geçmek için kanalları kapatmadan Eclair’i durdurup sürümü güncellemek ve yeniden başlatmak yeterli.

Bu değişiklik, tarayıcının kimlik doğrulama bilgilerini yeniden kullanarak düğüme komut iletebildiği yolu kapattı. Ancak API’nin dışarıya açılmasından kaynaklanan riski ortadan kaldırmadı. TokenPost daha önce Eclair’in Lightning kanallarındaki ücret kaybını önlemek için iki kod noktasında yaptığı değişikliği haberleştirmişti.