Radicleは、ピアツーピアのコード共同開発ノードが使用するネットワークプロトコルに2つの重大な欠陥があることを開示し、これまでにリリースされたすべてのバージョンが影響を受けると警告した。中心的なリスクは改ざんされたコードではない。Radicleによると、署名済みリファレンスは引き続きリポジトリの内容とアイデンティティを保護している。懸念されているのは、非公開リポジトリがノード間を移動する際の露出だ。
Radicle disclosed critical network-protocol flaws affecting all released versions of its peer-to-peer code-collaboration software.
1つ目の欠陥により、Noiseハンドシェイク後のトラフィックは暗号化も認証もされないままになる。そのため、リポジトリID、ピアアドレス、ゴシップ、Gitオブジェクト—including private-repository data—を含む情報は、ネットワーク経路上のトラフィックを観察できる第三者に読み取られる可能性がある。別の研究者による報告でも、この問題が1.10.3までのすべてのリリースに影響し、修正版がリリースされていないことが確認されている。
The disclosure says repository data can be exposed in transit and that no patched release is available through version 1.10.3.
2つ目の欠陥は接続ハンドシェイク中のピア認証を破壊し、攻撃者が自分自身のものではないNode IDを提示できるようにする。単独では、悪用には許可リストに登録されたIDをあらかじめ知っている必要がある。リスクは、経路の監視者がまず両エンドポイントのIDを読み取り、その後、そのうちの1つになりすまして非公開リポジトリを直接要求する場合に複合的に高まる。
Radicleが推奨する対応は、セキュリティアップデートが公開されるまで、ネットワーク経由で非公開リポジトリを使用およびシーディングしないことだ。同社は、過去に送信された非公開リポジトリを漏えい済みとして扱い、そこに含まれていた認証情報やトークンをすべてローテーションし、許可されたピアにもそれらのリpossiリポジトリをブロックするよう依頼するとしている。開示内容では、VPNや同様のオーバーレイネットワークでは、別個の問題であるなりすましの欠陥には対処できないとも警告している。
最終的な修正では、現在のトランスポートをirohに置き換えるため、ワイヤ非互換となり、メジャーリリースが必要になる。これには運用上のトレードオフがある。アップグレードするとv2ノードがv1ピアから分離される可能性がある一方、影響を受けるリリースのままでいると非公開データが露出した状態になる。リリース日や独立した技術監査は現時点で提供されていないため、修正の時期と完全性は未解決のままだ。