ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
ผลตรวจสอบความปลอดภัยเฟิร์มแวร์เครื่องขุดบิตคอยน์(BTC) พบช่องโหว่จากซอฟต์แวร์ของบุคคลที่สามรวม 41 จุด ประเด็นสำคัญไม่ได้อยู่ที่ประสิทธิภาพการขุด แต่อยู่ที่ว่าผู้ขุดสามารถตรวจสอบเฟิร์มแวร์ที่ควบคุมเครื่องขุดของตัวเองได้หรือไม่
Crypto Briefing รายงานว่า 256 Foundation ดำเนินการตรวจสอบความปลอดภัยเฟิร์มแวร์ครั้งแรก โดยตรวจเฟิร์มแวร์ดั้งเดิมของ Bitmain รุ่น S19j Pro และ S21 พร้อมกับเฟิร์มแวร์จากบุคคลที่สามอย่าง LuxOS, VNISH และ Braiins OS ผลการตรวจพบว่าเฟิร์มแวร์ดั้งเดิมของ Bitmain ไม่มีการดูดแฮชเรตแอบแฝง ไม่มีสัญญาณสื่อสารลับ และไม่พบพฤติกรรมที่เข้าข่ายมุ่งร้าย
ในทางกลับกัน เฟิร์มแวร์จากบุคคลที่สามอย่าง LuxOS, VNISH และ Braiins OS ถูกตั้งข้อสังเกตด้านความปลอดภัยรวมกันถึง 41 จุด ตัวอย่างที่พบ ได้แก่ △ไม่มีการเปลี่ยนรหัสผ่านเริ่มต้นของระบบ fleet △กุญแจ SSH ที่ฝังมาในอิมเมจเฟิร์มแวร์ △API ของโรงงานที่ไม่มีการยืนยันตัวตน △ช่องทางอัปเดตที่ข้ามการตรวจสอบลายเซ็นเข้ารหัส
ขอบเขตการตรวจสอบครั้งนี้จำกัดอยู่เฉพาะบางรุ่นและบางเฟิร์มแวร์เท่านั้น จึงยังตีความขยายผลไปยังเครื่องขุดและเฟิร์มแวร์ทุกยี่ห้อไม่ได้ทันที
256 Foundation เป็นกลุ่มที่ผลักดันให้โครงสร้างพื้นฐานการขุดบิตคอยน์เปลี่ยนไปสู่ระบบโอเพนซอร์ส โดยชูแนวคิด 'ชุดเครื่องมือขุดบิตคอยน์แบบโอเพนซอร์ส' ที่ครอบคลุมทั้งเฟิร์มแวร์ แผงแฮชบอร์ด แผงควบคุม และซอฟต์แวร์พูล
แกนหลักของแนวคิดนี้คือผู้ขุดต้องสามารถอ่าน ตรวจสอบ และแก้ไขซอฟต์แวร์ของอุปกรณ์ได้เอง หากพึ่งพาเฟิร์มแวร์แบบปิดเพียงอย่างเดียว ผู้ขุดจะตรวจสอบได้ยากว่าอุปกรณ์กำลังสื่อสารอะไรออกไปจริง และใช้ช่องทางอัปเดตแบบใด
ผลตรวจสอบครั้งนี้สะท้อนความตึงเครียดที่เฟิร์มแวร์แบบปิดและเฟิร์มแวร์จากบุคคลที่สามต่างเผชิญพร้อมกัน เฟิร์มแวร์ดั้งเดิมมีความผูกพันกับผู้ผลิตสูง ขณะที่เฟิร์มแวร์จากบุคคลที่สามชูจุดขายด้านการควบคุมพลังงาน การปรับจูนอัตโนมัติ และการสลับพูลขุด
แต่หากผู้ดูแลระบบตรวจสอบกลไกการทำงานภายในได้ไม่เพียงพอ เฟิร์มแวร์จากบุคคลที่สามก็มีความเสี่ยงในรูปแบบอื่นเช่นกัน ฟาร์มขุดส่วนใหญ่บริหารจัดการอุปกรณ์จำนวนมากผ่านระบบรีโมท ดังนั้นช่องโหว่ในขั้นตอนยืนยันตัวตน การอัปเดต และการกู้คืนระบบ อาจนำไปสู่การหยุดชะงักของการดำเนินงานได้โดยตรง
LuxOS ระบุในเอกสารทางการว่าผ่านการตรวจสอบมาตรฐาน SOC 2 Type 2 แล้ว ส่วน Braiins OS มีขั้นตอนแนะนำให้ตรวจสอบกุญแจสาธารณะและลายเซ็น GPG เพื่อยืนยันความถูกต้องและความสมบูรณ์ของไฟล์อิมเมจที่ดาวน์โหลด
ข้อมูลทั้งสองส่วนสะท้อนว่าแต่ละบริษัทให้ความสำคัญกับความปลอดภัยและขั้นตอนการตรวจสอบในการอธิบายผลิตภัณฑ์ของตน แต่ข้อมูลเหล่านี้ไม่ใช่เอกสารที่โต้แย้งผลการตรวจสอบครั้งนี้โดยตรง
ในชุมชนผู้ใช้งานเองก็มีการตั้งคำถามเกี่ยวกับการติดตั้งและกู้คืนเฟิร์มแวร์เช่นกัน บนเว็บบอร์ด Bitcointalk มีผู้ตั้งกระทู้สอบถามว่าการติดตั้ง LuxOS, Braiins และ VNISH บนบอร์ด Amlogic ของรุ่น S21 ติดขัดหรือไม่ เหตุใดจึงเกิดข้อผิดพลาด SSH และสามารถกู้คืนระบบผ่านการ์ด SD ได้หรือไม่
ความปลอดภัยของเฟิร์มแวร์จึงไม่ใช่เรื่องของนักพัฒนาเพียงฝ่ายเดียว แต่เป็นปัญหาเชิงปฏิบัติที่เกี่ยวโยงโดยตรงกับการหยุดชะงักของฟาร์มขุด การกู้คืนอุปกรณ์ และความล้มเหลวของระบบบริหารจัดการทางไกล
ประเด็นความปลอดภัยของบิตคอยน์ไม่ได้จำกัดอยู่แค่กฎฉันทามติหรือการโจมตีเครือข่ายเท่านั้น ก่อนหน้านี้ TokenPost เคยรายงานว่าแก่นของปัญหาความปลอดภัยใน Coldcard ไม่ได้อยู่ที่ตัวบิตคอยน์เอง แต่อยู่ที่ข้อผิดพลาดในการสร้างซีดของกระเป๋าฮาร์ดแวร์
โครงการ Mujina ของ 256 Foundation ก็ปรากฏขึ้นในบริบทเดียวกันนี้ Mujina ถูกแนะนำในฐานะโครงการเคอร์เนลลินุกซ์สำหรับเฟิร์มแวร์เครื่องขุดบิตคอยน์ ซึ่งมุ่งรองรับทั้งฮาร์ดแวร์เชิงพาณิชย์ที่มีอยู่เดิมและการออกแบบฮาร์ดแวร์โอเพนซอร์สรุ่นใหม่
หน้าองค์กรบน GitHub ของ 256 Foundation เปิดเผยโครงการที่เกี่ยวข้อง ได้แก่ Mujina, Hydrapool และ Libre Board ขณะที่ในฟอรัมก็มีการพูดคุยเรื่องการประชุมพัฒนา Mujina Firmware การถกเถียงเรื่องเฟิร์มแวร์โอเพนซอร์ส และขอบเขตการรองรับฮาร์ดแวร์
Crypto Briefing รายงานว่า 256 Foundation ได้ส่งหนังสือแจ้งช่องโหว่แบบ coordinated disclosure ให้กับ VNISH, Luxor และ Braiins โดยกำหนดเวลา 30 วัน ทั้งนี้ยังไม่พบรายงานเปิดเผยแยกต่างหากหรือคำตอบอย่างเป็นทางการจากบริษัทผู้พัฒนาในการค้นหาข้อมูลสาธารณะ
ความคิดเห็น 0