نرم‌افزار پرداخت بیت‌کوینی BTCPay Server در نسخه ۲.۴.۵ تغییر مهمی در نحوه استقرار با Docker ایجاد کرده است. از این پس، سرویس Tor به‌صورت پیش‌فرض در نصب استاندارد فعال نیست و مدیران سرور باید در صورت نیاز، آن را به‌صورت دستی فعال کنند. این تغییر به‌ویژه برای کاربرانی اهمیت دارد که از آدرس‌های مخفی با پسوند .onion برای دسترسی به سرور خود استفاده می‌کنند.

کاربران فعلی چه کاری باید انجام دهند؟

اگر مدیر یک سرور BTCPay مبتنی بر Docker هستید و برای دسترسی به آدرس .onion به Tor وابسته‌اید، باید پیش از به‌روزرسانی یا اجرای مجدد تنظیمات، تغییرات جدید را بررسی کنید. پس از ارتقا به نسخه ۲.۴.۵، می‌توانید با اجرای دستور زیر و دسترسی ریشه (root)، قابلیت Tor را دوباره به پیکربندی اضافه کنید:

sudo btcpay-fragments add opt-add-tor

توسعه‌دهندگان اعلام کرده‌اند که داده‌های قبلی Tor در فضای ذخیره‌سازی موجود حفظ می‌شوند؛ بااین‌حال، برای ادامه دسترسی از طریق شبکه Onion باید سرویس Tor در پیکربندی فعال باشد.

چرا Tor از نصب پیش‌فرض حذف شد؟

تیم BTCPay می‌گوید هدف این تغییر، ساده‌تر کردن نصب استاندارد، کاهش مصرف منابع و محدود کردن اجزای غیرضروری است. از این پس، مدیران سرور می‌توانند سرویس‌هایی را که واقعاً به آن‌ها نیاز دارند، به‌صورت انتخابی فعال کنند. بنابراین، حذف Tor از حالت پیش‌فرض به معنای کنار گذاشتن این فناوری نیست؛ Tor همچنان پشتیبانی می‌شود، اما فعال‌سازی آن به تصمیم مدیر سرور بستگی دارد.

محدودیت امنیتی تازه برای درخواست‌های شبکه

نسخه ۲.۴.۵ تغییر امنیتی دیگری نیز دارد: درخواست‌های HTTP خروجی به مقصدهای شبکه خصوصی، به‌صورت پیش‌فرض برای برخی قابلیت‌ها مسدود می‌شوند. این محدودیت بخش‌هایی مانند اتصال‌های لایتنینگ، درخواست‌های LNURL، نشانی‌های اطلاع‌رسانی پرداخت و وب‌هوک‌ها را دربر می‌گیرد و با هدف کاهش خطر حملات SSRF اعمال شده است؛ حملاتی که می‌توانند از طریق یک سرویس، به منابع داخلی سرور دسترسی پیدا کنند.

مدیرانی که عمداً از سرویس‌های خصوصی استفاده می‌کنند، ممکن است لازم باشد مقصدهای مجاز را در تنظیمات ssrfexceptions مشخص کنند و پس از اعمال تغییرات، عملکرد اتصال‌های مربوطه را دوباره آزمایش کنند.

این تغییر چه اهمیتی دارد؟

برای کسب‌وکارهایی که پرداخت بیت‌کوینی را با BTCPay مدیریت می‌کنند، بررسی تنظیمات پیش از به‌روزرسانی اهمیت زیادی دارد. اگر سرور شما به Tor یا سرویس‌های داخلی وابسته است، به‌روزرسانی بدون بررسی تنظیمات می‌تواند دسترسی مورد انتظار را مختل کند. در مقابل، فعال نگه‌داشتن فقط اجزای موردنیاز می‌تواند به کاهش سطح حمله و ساده‌تر شدن مدیریت سرور کمک کند.

نکته مهم: این تغییر به معنای توقف پشتیبانی BTCPay از Tor یا از کار افتادن همه سرورها نیست؛ مسئله اصلی این است که کاربران Docker که به دسترسی Onion نیاز دارند، باید آن را صریحاً فعال کنند.