गंभीर बग मिलने के बाद XRPL ने अनुमति सौंपने की समस्या ठीक की

XRPL ने परीक्षण के दौरान बग बाउंटी रिपोर्ट में उच्च-जोखिम वाली खामी सामने आने के बाद अपना Permission Delegation संशोधन वापस ले लिया है। अब अधिक सुरक्षित V1.1 का सुरक्षा और QA समीक्षा पूरी की जा रही है।

यह घटना दिखाती है कि प्रोटोकॉल स्तर पर प्रतिनिधिमंडल की सुविधा के लिए ऐसे सुरक्षा उपाय ज़रूरी हैं जो केवल मूल सुविधा तक सीमित न हों।

बग रिपोर्ट के बाद XRPL ने Permission Delegation में बदलाव किया

Permission Delegation, जिसे XLS-75 के नाम से जाना जाता है, एक खाते को दूसरे खाते को अपनी ओर से काम करने के लिए विशिष्ट अधिकार देने की अनुमति देता है। इन अधिकारों का दायरा सीमित होना चाहिए, ताकि प्रतिनिधि को पूरे खाते का नियंत्रण न मिल जाए।

RippleX के इंजीनियरिंग प्रमुख J. Ayo Akinyele ने बताया कि मूल V1.0 कार्यान्वयन को XRPL मेननेट तक पहुँचने से पहले बग बाउंटी कार्यक्रम के ज़रिए भेद्यता की रिपोर्ट मिलने पर वापस ले लिया गया था। उस संस्करण में सीधे पैच लगाने के बजाय, टीम ने V1.1 पेश किया, ताकि मूल कार्यान्वयन और अधिक सुरक्षित रिलीज़ को अलग रखा जा सके।

Shotes नाम के एक शोधकर्ता ने अपरिवर्तनीय प्रतिनिधि अधिकारों से जुड़ी एक गंभीर समस्या खोजी। इसमें प्रतिनिधि अपना खाता हटाकर बाद में उसे फिर से बना सकता था और दूसरे खाते से मिले अधिकार अपने पास बनाए रख सकता था—जबकि मूल खाते के पास उन अधिकारों को रद्द करने का कोई तरीका नहीं था।

ये बदलाव किसी एक बग तक सीमित नहीं हैं। V1.1 में डेलीगेट की पहचान से जुड़े विशेष मामलों को ठीक किया गया है और Vault तथा Lending ऑपरेशन्स सहित नई क्षमताओं को अनजाने में डेलीगेट होने से रोका गया है। इसमें डेलीगेट किए गए भुगतानों के लिए रिज़र्व अकाउंटिंग भी ठीक की गई है और मल्टी-साइनिंग के उस रास्ते को बंद किया गया है जो डेलीगेशन जाँचों को दरकिनार कर सकता था। निरस्तीकरण के व्यवहार को भी अधिक सख़्त बनाया गया है।

समीक्षा में isDelegable में एक मध्यम-गंभीरता वाला unsigned integer overflow भी मिला। इसके कारण अनुमति के किसी विकृत मान को डेलीगेट किए जा सकने वाले ट्रांज़ैक्शन प्रकार के रूप में समझा जा सकता था, हालाँकि शोधकर्ताओं ने कहा कि डेलीगेट करने वाले की ओर से गलत व्यवहार के बिना इस समस्या का कोई सार्थक प्रभाव नहीं था।

XRPL के डेलीगेशन दायरे में विस्तृत परीक्षण

26 अगस्त को Ramkumar SG द्वारा प्रकाशित QA रिपोर्ट में Permission Delegation के 179 विशेष परीक्षण दर्ज किए गए: इनमें 112 फ़ंक्शनल टेस्ट, 48 प्रतिकूल सुरक्षा परीक्षण और 19 क्रॉस-फ़ीचर परीक्षण शामिल थे। परीक्षण में Batch, Confidential MPT, ट्रांज़ैक्शन क्यू और मल्टी-साइनिंग के साथ होने वाली अंतःक्रियाएँ भी शामिल थीं।

XRP Ledger Operations ने कहा कि सभी निष्कर्षों को V1.1 में ठीक कर दिया गया था और Cantina सुरक्षा फ़र्म ने उनका सत्यापन किया था। इसकी QA टीम ने 5,088 परीक्षणों में कोई रिग्रेशन न होने की भी जानकारी दी और बताया कि गंभीर श्रेणी के कोई आंतरिक बग लंबित नहीं थे। टीम ने निष्कर्ष निकाला कि परीक्षण किए गए कमिट स्तर पर यह फ़ीचर प्रोडक्शन में इस्तेमाल के लिए तैयार था।

Permission Delegation को मई 2025 में पेश किया गया था, सितंबर 2025 में सुरक्षा सुधार लंबित रहने तक असमर्थित चिह्नित किया गया, अक्टूबर में इसका नाम बदलकर PermissionDelegationV1_1 रखा गया और जून 2026 में इसे फिर से समर्थित किया गया।

जैसा कि CryptoPotatoपिछले सप्ताह रिपोर्ट की गई जानकारी के अनुसार, डेवलपर Denis Angell द्वारा बनाया गया एक सार्वजनिक डैशबोर्ड यह ट्रैक कर रहा है कि XRPL संशोधनों को मेननेट पर पहुंचने से पहले devnet पर कितनी अच्छी तरह आज़माया जाता है, और डैशबोर्ड ने जिन संशोधनों को अधूरा चिह्नित किया था, उनमें delegation भी शामिल था।

उपयोगकर्ताओं और कस्टडी प्रदाताओं के लिए, अपेक्षित क्षमता में अब भी कोई बदलाव नहीं है। Akinyele के शब्दों में, V1.1 से XLS-75 की क्षमताएं नहीं बदलतीं; इसके बजाय, यह उन परिस्थितियों को बदलता है जिनमें वह क्षमता सक्रिय होती है।

स्रोत: CryptoPotato