Bitcoin Core ha rivisto la sua politica di divulgazione delle vulnerabilità, eliminando il periodo di embargo basato sulla gravità per i bug facili da scoprire — compresi i problemi che possono emergere da un semplice prompt a un modello linguistico. Lo sviluppatore Antoine Poinsot ha committato la modifica alla politica di sicurezza del progetto il 22 ottobre.

L'aggiornamento è una regola di divulgazione, non il resoconto di un nuovo exploit, e non dice nulla sulla crittografia di Bitcoin o sulla sicurezza delle chiavi private degli utenti.

Perché l'AI Ha Minato l'Embargo

Gli sviluppatori hanno scritto di aver recentemente visto più segnalazioni di vulnerabilità che possono essere facilmente trovate, o ritrovate. Lo hanno attribuito in gran parte ai modelli linguistici, che abbassano la barriera per individuare certe classi di bug e possono anche identificare correzioni coperte: patch di sicurezza integrate nel codice senza essere etichettate come tali.

Questo secondo punto vanifica lo scopo di un embargo, ovvero il periodo durante il quale i manutentori trattengono i dettagli di una vulnerabilità segnalata mentre viene preparata una versione corretta. Bitcoin Core è open source, quindi una correzione è visibile nel codice pubblico molto prima che i suoi dettagli vengano pubblicati. Se un modello può riconoscere una modifica come una correzione di sicurezza, il silenzio fa poco a nascondere il bug agli attaccanti, pur ritardando il rilascio di una versione corretta per gli utenti.

"Il periodo di embargo ottiene poco ma ritarda la disponibilità di una versione corretta", hanno scritto gli sviluppatori.

Gli embarghi lunghi hanno anche influenzato dove le correzioni sono arrivate. Gli sviluppatori hanno notato che il loro approccio significava in genere che le correzioni di sicurezza non potevano essere riportate all'indietro — portate nelle versioni precedenti ancora supportate — e raggiungevano gli utenti solo con la prossima major release.

Come la Nuova Regola Modifica i Tempi

Le tempistiche esistenti, illustrate nella pagina dei security advisory del progetto, mostrano quanto può durare l'attesa. Gli sviluppatori decidono la classificazione quando valutano una segnalazione.

La nuova regola dovrebbe coprire i bug che possono essere trovati con il minimo sforzo, ad esempio attraverso un semplice prompt a un modello linguistico, pur non essendo limitata alle scoperte dell'AI. Per questi bug, l'embargo basato sulla gravità non si applica più e i dettagli possono essere pubblicati insieme alla versione corretta anziché dopo un periodo di attesa.

Quali Nodi Ricevono la Patch

La politica di manutenzione di Bitcoin Core copre le ultime tre versioni major. Quando ne viene rilasciata una nuova, la più vecchia raggiunge la fine del ciclo di vita e in genere non riceve più correzioni di sicurezza.

I nodi che eseguono ancora la 28.x o versioni precedenti in genere non riceveranno queste correzioni. Il progetto punta a una major release ogni sei-sette mesi, e la prossima, la 32.0, spingerà la 29.x fuori dalla finestra di manutenzione. Bitcoin Core raccomanda di eseguire l'ultima release di manutenzione della versione più recente a cui un operatore può eseguire l'aggiornamento, e la sua pagina di download spiega come verificare checksum e firme delle release.

Il backport dipende anche dalle persone. La pagina del ciclo di vita del progetto nota che la soglia per il backport di una modifica aumenta con l'invecchiamento di una versione, e che non sempre ci sono abbastanza volontari per gestirla. La capacità di manutenzione ha influenzato anche altre decisioni, come mostrato dal dibattito precedente sul supporto di Bitcoin Core alla rete privacy CJDNS.

Il Compromesso, e Cosa Osservare

Gli sviluppatori presentano ogni politica di sicurezza come un equilibrio tra trasparenza, che aiuta tanto gli attaccanti quanto i difensori, e il dare agli utenti il tempo di aggiornarsi — qualcosa che la lenta cultura di aggiornamento di Bitcoin Core rende più difficile. Pubblicare un advisory insieme alle versioni corrette significa che i dettagli diventano pubblici mentre alcuni nodi eseguono ancora software non corretto. Per i bug che gli attaccanti potrebbero trovare da soli, gli sviluppatori ritengono che una correzione rapida conti più del mantenere riservati i dettagli.

Il primo security advisory emesso in base alla nuova regola mostrerà quanto rapidamente le point release — aggiornamenti minori all'interno di una versione major — raggiungono in pratica tutte e tre le versioni mantenute. Separatamente, il rilascio della 32.0 ridurrà l'insieme dei nodi che possono riceverle.

Questo articolo è fornito solo a scopo informativo e non costituisce consigli finanziari o di investimento. Gli operatori di nodi dovrebbero seguire le release note ufficiali di Bitcoin Core e le istruzioni di verifica.

Fonte: Coindoo