📖 AI 总结

Radicle 披露其核心网络协议存在两个关键安全漏洞，导致所有节点版本的私有仓库通信机密性失效。独立工程师发现，radicle-node 守护进程虽执行 Noise XK 握手并推导出会话密钥，却在协商完成后立即丢弃加密状态，密钥以明文形式驻留内存，此后包括 Gossip 元数据、路由表和 Git 对象包在内的所有数据均通过未加密的 TCP 套接字明文传输。同时，握手过程存在身份验证缺陷，攻击者可伪造白名单节点的 ID 冒充授权对等节点，结合明文窃听直接拉取私有仓库。由于协议缺乏版本协商机制，无法部署向后兼容的缓解措施，维护者建议立即暂停明网私有仓库运行，并计划弃用自定义 Noise 传输层，转向基于 QUIC 和 TLS 的 Iroh 协议栈，此举将导致新旧节点之间产生硬性网络分区。