Radicle、全バージョンに暗号化欠如となりすましの脆弱性——プライベートリポジトリの使用中止を推奨
Radicle: Disclosure of Vulnerability in the Network Protocol
Radicleのネットワークプロトコルに2つの重大な脆弱性が発見された。ノード間の通信が暗号化も認証もされておらず、経路上の攻撃者がデータを盗聴できる。さらに、接続ハンドシェイクのピア認証が壊れており、攻撃者がallow-listのNode IDを偽装してプライベートリポジトリを取得できる。修正版は後方互換性がなくメジャーバージョンアップとなるため、それまでプライベートリポジトリの使用を中止し、漏洩した可能性のある認証情報はローテーションすべきだとしている。
現実的な脅威は、あなたのノードと同期相手のノードの間の経路上にいる誰かであり、いかなる設定やallow-listも彼らから守ることはできない。
HNでの議論
58- Aurornis
> 何が問題なの？
> ノード間のネットワークトラフィックは暗号化されておらず、認証もされていない。
ああ。
暗号学的アイデンティティや分散化のトリックを使うためにあれだけ苦労したのに、どうしてネットワークトラフィックについては何もし忘れたんだ？
後でやるつもりが、TODOリストから落ちてしまったとか？
- john_strinlai
>これは2026-06-24にKonstantinos Maninakisから報告されました。
3ヶ月後の発表はあまり素晴らしいとは言えない。現在の推奨が「セキュリティアップデートがリリースされるまで（ネットワーク経由で）プライベートリポジトリを使うのをやめろ」であることを考えるとね。
- sondr3
3ヶ月前に報告されていて、「回避策」がプライベートリポジトリを使うのをやめて全部乗っ取られたと仮定しろというのは、なかなかだ。こんなものを作っているときに、ノード間トラフィックが暗号化されていないことにどうして気づかないんだ？
- skullone
このプロジェクト全体が素人劇場って感じだ。未だにcurlパイプでシェルにインストールとかやってるし。おまけに、とんでもなく愚かなセキュリティ欠陥があるのに、この緩いセキュリティ開示。気持ち悪い。
- iamnothere
カスタムプロトコルではなくirohに移行するというのは嬉しいニュースだ。これが自前でやることの問題だよ。
おまけに、これでトラフィックのカモフラージュにも役立つはずだ。（Irohは一般的になりつつある。）