رفع مشکل تفویض اختیار در XRPL پس از کشف باگ حیاتی

XRPL مجوز تفویض اختیار را پس از کشف نقص امنیتی پرخطر پس گرفت

لجر XRP (XRPL) پس از آنکه گزارش یک برنامه پاداش باگ، نقص امنیتی پرخطری را در طول آزمایش‌ها کشف کرد، اصلاحیه مجوز تفویض اختیار خود را پس گرفت. نسخه اصلاح‌شده V1.1 اکنون مراحل بازبینی امنیتی و بررسی کیفیت را تکمیل کرده است. این رویداد نشان می‌دهد که چرا تفویض اختیار در سطح پروتکل نیازمند سازوکارهای حفاظتی فراتر از خود ویژگی اصلی است.

جزئیات مجوز تفویض اختیار (XLS-75)

مجوز تفویض اختیار، که با نام XLS-75 شناخته می‌شود، به یک حساب اجازه می‌دهد تا قدرت‌های مشخصی را به حساب دیگری برای اقدام از طرف خود واگذار کند. این مجوزها باید محدود باشند و کنترل کامل حساب را به نماینده ندهند.

دلیل پس گرفتن نسخه اولیه

جی. آیو آکین‌یله، رئیس مهندسی RippleX، توضیح داد که پیاده‌سازی اولیه V1.0 پس از گزارش یک آسیب‌پذیری از طریق برنامه پاداش باگ، پیش از رسیدن به شبکه اصلی XRPL، پس گرفته شد. به جای رفع اشکال در همان نسخه، تیم V1.1 را معرفی کرد تا پیاده‌سازی اولیه را از نسخه اصلاح‌شده جدا کند.

نقص امنیتی کشف شده

یک محقق به نام شوتس (Shotes) یک مشکل با شدت بالا را در زمینه مجوزهای تفویض اختیار غیرقابل فسخ کشف کرد. در این حالت، نماینده می‌توانست حساب خود را حذف کرده و سپس دوباره آن را ایجاد کند، در حالی که مجوزهای دریافتی از حساب دیگر را حفظ می‌کرد و حساب اصلی هیچ راهی برای لغو این مجوزها نداشت.

اصلاحات در نسخه V1.1

تغییرات در نسخه V1.1 فراتر از رفع یک باگ واحد است. این نسخه به موارد خاص مربوط به هویت نماینده رسیدگی می‌کند و از تفویض ناخواسته قابلیت‌های جدیدتر، از جمله عملیات Vault و Lending، جلوگیری می‌کند. همچنین، حسابداری ذخیره برای پرداخت‌های تفویض شده را اصلاح کرده و مسیری را که می‌توانست بررسی‌های تفویض اختیار را دور بزند، مسدود می‌کند. رفتار لغو مجوز نیز سخت‌گیرانه‌تر شده است.

یافته‌های دیگر و تست‌ها

در بازبینی، یک سرریز عدد صحیح امضا نشده با شدت متوسط در تابع isDelegable نیز کشف شد که می‌توانست باعث تفسیر نادرست مقدار مجوز به عنوان یک نوع تراکنش قابل تفویض شود. با این حال، محققان اعلام کردند که این مشکل بدون رفتار نادرست از سوی تفویض‌کننده، تأثیر معناداری نداشته است.

گزارش کیفیت محصول منتشر شده توسط رام‌کومار اس‌جی (Ramkumar SG) در ۲۶ اوت، شامل ۱۷۹ تست اختصاصی مجوز تفویض اختیار بود که شامل ۱۱۲ تست عملکردی، ۴۸ تست امنیتی تهاجمی و ۱۹ تست بین‌قابلیتی می‌شد. آزمایش‌ها همچنین تعامل با Batch، Confidential MPT، صف تراکنش و امضای چندگانه را پوشش دادند.

عملیات XRP Ledger اعلام کرد که تمام یافته‌ها در V1.1 رفع شده و توسط شرکت امنیتی Cantina تأیید شده‌اند. تیم کیفیت محصول این شرکت نیز هیچ رگرسیونی را در ۵۰۸۸ تست گزارش نکرده و اشاره کرد که هیچ باگ داخلی باز و با اولویت حیاتی وجود ندارد. در نتیجه، این ویژگی در سطح کامیت آزمایش شده، آماده استفاده در محیط عملیاتی است.

مجوز تفویض اختیار در ماه مه ۲۰۲۵ معرفی شد، در سپتامبر ۲۰۲۵ به دلیل نیاز به رفع امنیتی، فاقد پشتیبانی اعلام شد، در اکتبر به PermissionDelegationV1_1 تغییر نام داد و در ژوئن ۲۰۲۶ مجدداً پشتیبانی شد.

همانطور که CryptoPotato هفته گذشته گزارش داد، یک داشبورد عمومی که توسط دنیس آنجل (Denis Angell) ساخته شده است، میزان استفاده از اصلاحیه‌های XRPL را در devnet پیش از رسیدن به شبکه اصلی ردیابی می‌کند و تفویض اختیار در میان اصلاحیه‌هایی بود که به عنوان ناقص علامت‌گذاری شده بود.

برای کاربران و ارائه‌دهندگان خدمات نگهداری، قابلیت مورد نظر همچنان بدون تغییر است. به گفته آکین‌یله، V1.1 چیزی را که XLS-75 می‌تواند انجام دهد تغییر نمی‌دهد؛ بلکه شرایطی را که تحت آن این قابلیت فعال می‌شود، تغییر می‌دهد.