Radicle revela duas falhas críticas no protocolo e recomenda suspender repositórios privados
O Radicle revelou duas falhas críticas no protocolo de rede que permitem exposição de repositórios privados e falsificação da identidade de peers.
Quem usa Radicle para código privado precisa tratar o problema como possível exposição de segredos e identidade, não apenas como uma atualização de cliente.
As falhas afetam todas as versões lançadas do Radicle. O protocolo de rede atual não autentica nem cifra o tráfego entre peers de forma suficiente para proteger repositórios privados: um atacante em posição de observar a comunicação pode recuperar informações, enquanto outra falha permite se passar por um Node ID legítimo.
A equipe recomenda interromper o uso de repositórios privados pela rede até a correção. Também orienta considerar como exposto qualquer repositório privado já transmitido a outro nó e rotacionar credenciais, chaves ou tokens que tenham sido armazenados sem criptografia. O conserto exigirá uma nova versão principal com mudanças incompatíveis no protocolo de wire, e o uso de Tor, I2P ou VPN não elimina a falha de autenticação entre peers.
Acompanhar a nova versão incompatível do protocolo, instruções de migração e qualquer orientação adicional sobre rotação de credenciais ou investigação de exposição.
Outros posts sobre assuntos próximos ao que você acabou de ler.