Today for AI
返回热点榜
tools热度 11.1°

AI 聚簇研判事件 · 2026/10/12

Radicle 披露协议级致命漏洞：Noise 握手后丢弃密钥致私有仓库明文裸奔，被迫停服重构网络层

1 篇报道存证1 家独立信源交叉印证持续跟踪至 2026/10/12 10:26:05
全景综述与最新动态
1 家信源交叉印证

去中心化代码协作平台 Radicle 曝出两个底层协议缺陷，导致所有历史版本的机密性彻底失效。核心问题在于 Noise XK 握手完成后加密状态被立即丢弃且会话密钥明文驻留内存，致使 Gossip 元数据与 Git 对象包全程以明文通过 TCP 传输。由于缺乏版本协商机制，无法热修复，官方建议暂停明网私有仓库并迁移至基于 QUIC/TLS 的 Iroh 协议栈。

最新动向/去中心化代码协作平台 Radicle 曝出两个底层协议缺陷，导致所有历史版本的机密性彻底失效。核心问题在于 Noise XK 握手完成后加密状态被立即丢弃且会话密钥明文驻留内存，致使 Gossip 元数据与 Git 对象包全程以明文通过 TCP 传输。由于缺乏版本协商机制，无法热修复，官方建议暂停明网私有仓库并迁移至基于 QUIC/TLS 的 Iroh 协议栈。

热度曲线逐小时热度走势

4 个完整观测小时
当前
11.1
峰值
11.811:00
近 24h 变化
–

曲线只比较全程持续完整观测的同一批信源；缺口小时数据已插值平滑，保持趋势连续。

TIMELINE报道时间线

共 1 篇 · 最新优先
  1. InfoQ 中文T2·68 分

    Radicle 披露协议级致命漏洞：Noise 握手后丢弃密钥致私有仓库明文裸奔，被迫停服重构网络层

    原标题：Radicle 披露了可能导致私有仓库以明文形式暴露的关键漏洞

    • Noise XK 握手虽完成密钥推导（Split），但 radicle-node 错误地丢弃了加密状态并将密钥明文存于内存，导致后续流量未加密。
    • 攻击者可读取路径上的私有仓库数据并冒充白名单节点，影响范围覆盖所有现有节点版本。
    • 因协议无版本协商字段，无法向后兼容地注入加密补丁，必须通过迁移到 Iroh (QUIC+TLS) 进行破坏性重构。