Bitcoin Core hat seine Richtlinie zur Schwachstellen-Offenlegung überarbeitet und die schweregradbasierte Embargofrist für leicht auffindbare Fehler gestrichen — einschließlich Probleme, die bereits durch eine einfache Anfrage an ein Sprachmodell zutage treten können. Der Entwickler Antoine Poinsot übernahm die Änderung am 22. Oktober in die Sicherheitsrichtlinie des Projekts.

Bei der Aktualisierung handelt es sich um eine Offenlegungsregel, nicht um den Bericht über einen neuen Exploit, und sie sagt nichts über die Kryptografie von Bitcoin oder die Sicherheit der privaten Schlüssel der Nutzer aus.

Warum KI das Embargo Untergräbt

Die Entwickler schrieben, dass sie in letzter Zeit mehr Berichte über Schwachstellen erhalten hätten, die leicht gefunden oder erneut gefunden werden können. Sie führten dies vor allem auf Sprachmodelle zurück, die die Hürde für das Aufspüren bestimmter Fehlerklassen senken und auch verdeckte Fixes identifizieren können — Sicherheitspatches, die ohne entsprechende Kennzeichnung in den Code gemerged wurden.

Dieser zweite Punkt untergräbt den Zweck eines Embargos, also des Zeitraums, in dem die Maintainer die Details einer gemeldeten Schwachstelle zurückhalten, während ein korrigierter Release vorbereitet wird. Bitcoin Core ist Open Source, daher ist ein Fix lange vor seiner Veröffentlichung im öffentlichen Code sichtbar. Wenn ein Modell eine Änderung als Sicherheits-Fix erkennen kann, hilft Schweigen kaum, den Fehler vor Angreifern zu verbergen, verzögert aber weiterhin die Bereitstellung eines gepatchten Releases für die Nutzer.

"Die Embargofrist bringt wenig, verzögert aber die Verfügbarkeit eines korrigierten Releases", schrieben die Entwickler.

Lange Embos beeinflussten auch, wo Fixes landeten. Die Entwickler stellten fest, dass ihr Vorgehen im Allgemeinen bedeutete, dass Sicherheits-Fixes nicht zurückportiert werden konnten — also nicht in ältere, noch unterstützte Versionen übertragen wurden — und die Nutzer sie erst mit dem nächsten Major-Release erreichten.

Wie die Neue Regel Den Zeitplan Ändert

Die bestehenden Zeitpläne, die auf der Sicherheitsadvisories-Seite des Projekts aufgeführt sind, zeigen, wie lange diese Wartezeit ausfallen kann. Die Entwickler entscheiden über die Klassifizierung, wenn sie einen Bericht prüfen.

Von der neuen Regel wird erwartet, dass sie Fehler abdeckt, die mit minimalem Aufwand gefunden werden können, etwa durch eine einfache Anfrage an ein Sprachmodell, wobei sie sich nicht auf KI-Funde beschränkt. Für diese Fehler gilt das schweregradbasierte Embargo nicht mehr, und Details können gemeinsam mit dem korrigierten Release veröffentlicht werden, statt nach einer Wartezeit.

Welche Knoten Den Patch Erhalten

Die Wartungsrichtlinie von Bitcoin Core umfasst die drei neuesten Major-Versionen. Wenn eine neue veröffentlicht wird, wird die älteste ans Ende ihrer Lebensdauer gesetzt und erhält im Allgemeinen keine Sicherheits-Fixes mehr.

Knoten, die noch 28.x oder älter betreiben, erhalten diese Fixes im Allgemeinen nicht. Das Projekt zielt darauf ab, alle sechs bis sieben Monate ein Major-Release zu veröffentlichen, und das nächste, 32.0, wird 29.x aus dem Wartungsfenster drängen. Bitcoin Core empfiehlt, das neueste Wartungsrelease der aktuellen Version zu betreiben, auf die ein Betreiber aktualisieren kann, und die Download-Seite erklärt, wie Release-Prüfsummen und Signaturen verifiziert werden.

Backporting hängt auch von den Menschen ab. Die Lifecycle-Seite des Projekts weist darauf hin, dass die Hürde für die Backportierung einer Änderung mit dem Alter einer Version steigt und nicht immer genügend Freiwillige zur Verfügung stehen, um dies zu managed. Die Wartungskapazität beeinflusste auch andere Entscheidungen, wie die frühere Debatte über die Unterstützung des CJDNS-Privacy-Netzwerks durch Bitcoin Core zeigte.

Der Kompromiss Und Was Zu Beobachten Ist

Die Entwickler begreifen jede Sicherheitsrichtlinie als Balance zwischen Transparenz, die Angreifern wie Verteidigern gleichermaßen nützt, und der Zeit, die Nutzer zum Aktualisieren benötigen — was die langsame Upgrade-Kultur von Bitcoin Core erschwert. Die Veröffentlichung eines Advisories gemeinsam mit den korrigierten Releases bedeutet, dass Details öffentlich werden, während einige Knoten noch ungepatchte Software betreiben. Bei Fehlern, die Angreifer selbst finden könnten, halten die Entwickler ein schnelles Fixen für wichtiger als das Geheimhalten der Details.

Das erste Sicherheits-Advisory, das nach der neuen Regel veröffentlicht wird, wird zeigen, wie schnell Point-Releases — kleinere Updates innerhalb einer Major-Version — in der Praxis alle drei gepflegten Versionen erreichen. Separat wird das Release von 32.0 den Kreis der Knoten verkleinern, die diese erhalten können.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- Anlageberatung dar. Node-Betreiber sollten den offiziellen Release-Hinweisen und Verifizierungsanleitungen von Bitcoin Core folgen.

Quelle: Coindoo