以太坊客户端Teku与Besu发布更新 调整内置证书信任列表

以太坊共识层与执行层客户端在本周先后发布新版本，调整了软件内置的证书信任范围。Teku 推出 26.10.3 版本，Besu 推出 26.10.2 版本，两者均在 Docker 镜像中停止信任与印度证书机构 eMudhra 相关的证书。此次更新对应的是本周被公开披露的一起中间证书私钥生成强度不足事件。

版本更新与调整范围

Teku 是许多验证者运行以太坊权益证明网络时所使用的客户端软件，Besu 则负责处理以太坊交易。两个团队在发布说明中表示，此次改动的对象是预打包镜像中内置的证书信任列表，也就是不少运维方直接部署的镜像版本。Teku 新版本于本周二发布，Besu 新版本于本周一发布。

证书私钥生成强度不足的由来

10 月 17 日，研究人员发现 eMudhra 旗下八个中间证书机构的私钥在生成阶段随机性不足。由于证书本身属于公开信息，私钥可由证书反推得出，持有这些私钥的一方能够签发未更新软件仍会接受的证书。浏览器随后停止信任相关证书，eMudhra 在一天后完成吊销，并表示将退出证书签发业务。

Teku 与 Besu 所依赖的 Java 运行环境默认不检查证书是否已被吊销。因此，即便浏览器已不再信任上述证书，客户端镜像在一段时间内仍会继续信任它们，这也是本次版本更新需要单独处理证书列表的原因。

验证者收益环节的相关说明

按照 Teku 安全公告的描述，处在验证者与其所连接服务之间的第三方可以冒充该服务。被误导的验证者可能在出块时将费用支付至其他地址；若验证者使用外部签名服务，伪造的签名服务还可能提供用于更改收益接收地址的签名，Teku 将这一配置列为影响相对更大的情形。

Teku 团队同时说明，主网上采用默认配置运行的 Teku 节点不受影响，无需执行额外操作，且目前未收到与该问题相关的实际利用报告。该问题最初由 Teku 的安全合作方 Consensys Diligence 标记。

运维方的处理方式

以 Docker 方式部署的运维方，更新至最新的 Teku 或 Besu 镜像即可。直接在主机上运行软件的运维方需要单独更新 Java，因为升级以太坊客户端本身不会改动 Java 的受信任证书列表，新镜像同样不会修复宿主机上已安装的 Java。仍在使用 Java 26 的运维方所需步骤更多：该版本已停止维护，不会获得修复构建，需要迁移至 Java 25。

信息来源：CoinDesk