Radicle 网络协议明文传输漏洞
推荐指数 52.0 NO. 019 · 2026.09.24
发布2026/09/23Score94Comments34
为什么值得看
去中心化代码协作工具 Radicle 的网络协议存在两个严重漏洞，所有历史版本均受影响，节点间通信未加密且未认证。使用 Radicle 托管私有仓库的团队需立即评估数据泄露风险，考虑迁移或加 VPN 层防护。
编辑判断
Radicle 主打"本地优先、无需托管平台"的愿景，但 P2P 架构的安全假设长期被社区质疑。这次漏洞暴露了一个根本矛盾：去中心化系统为了易用性牺牲传输层安全，而 Git 的 Signed References 只能防篡改不能防窃听。
对比 GitHub/GitLab 的 TLS 全链路加密，Radicle 的零配置发现机制成了攻击面。已经在用 Radicle 的团队建议临时走 WireGuard 或 Tailscale 隧道，长期看需要等官方出 2.0 协议重构。
这个案例也给其他 P2P 协作工具（如 Anytype、Holochain）提了醒：去中心化不等于安全，默认加密应该是底线而非可选项。
社区反馈
负面 34 条评论
核心争论：去中心化工具的安全基础设计缺失与团队危机响应能力的双重质疑
I honestly thought there would be some elaborate chain there, not "we forgot to use encryption"...
Honestly issues like this crop up pretty commonly. JWT alg:none for example. Or even older people forcing SSL to downgrade to encryption null. In any system that provides security it should only be designed to run if the security is in use, and to fail immediately with no further action if the secur
And not using authentication. > Peer authentication in the connection handshake is broken and allows impersonation. An attacker can connect to your node and present a Node ID that is not its own. Private repositories are shared only with allow-listed Node IDs. An attacker who fakes an allow-listed N