Radicleネットワークプロトコルの脆弱性開示
Radicle: Disclosure of Vulnerability in the Network Protocol
Radicleは、Gitを基盤としたP2Pのローカルファーストなコードコラボレーションスタックです。Radicleノードが使用するネットワークプロトコルに、2つの重大なセキュリティ脆弱性が存在することが報告されました。影響を受けるのは、これまでにリリースされた全てのRadicleバージョンです。脆弱性の内容は、ノード間のネットワークトラフィックが暗号化されておらず、認証も行われていないため、通信内容が平文で漏洩する可能性があること、およびピア認証が破損しており、攻撃者がノードIDを偽装してプライベートリポジトリにアクセスできる可能性があることです。特にプライベートリポジトリにおいては、通信内容の漏洩が懸念されます。ユーザーは、修正版がリリースされるまでプライベートリポジトリの使用を停止することが推奨されています。修正版は、ネットワークプロトコルをirohに置き換えることで対応する予定ですが、これは後方互換性のないメジャーバージョンアップとなります。修正版のリリース時期は未定ですが、作業は進行中です。
- Radicleノードのネットワークプロトコルに2件の重大脆弱性が開示され、過去にリリースされた全バージョンが影響を受ける。
- ノード間トラフィックが暗号化・認証されておらず平文漏洩の恐れがあり、ピア認証破損によりノードID偽装でプライベートリポジトリへアクセス可能。
- ユーザーは修正版リリースまでプライベートリポジトリの使用停止が推奨されている。
- 修正はネットワークプロトコルをirohへ置き換える非後方互換のメジャーバージョンアップで対応予定だが、リリース時期は未定。
コードコラボレーション基盤「Radicle」の全リリース版に、平文通信とピア認証破損という2件の重大脆弱性が開示され、プライベートリポジトリの利用停止が推奨された。対策としてネットワークプロトコルをirohへ置き換える非後方互換のメジャーアップデートが予定されているが時期は未定で、P2P開発ツールの信頼性・採用に直接響く。投資家としては、暗号化・認証を内製せず外部プロトコルへ移行する構図が、分散型インフラのセキュリティ実装がstill immatureであることの証左であり、同領域のセキュリティ需要とリスクを測る材料になる。修正版のリリース時期が未定である点は、ユーザー離反とエコシステム停滞のリスクとして注視したい。