Bitcoin Core пересмотрел политику раскрытия уязвимостей, отменив период эмбарго по уровню критичности для багов, которые легко обнаружить — включая проблемы, выявляемые с помощью простого запроса к языковой модели. Разработчик Антуан Пуансо (Antoine Poinsot) внёс изменение в политику безопасности проекта 22 октября.

Это обновление представляет собой правило раскрытия информации, а не сообщение о новой уязвимости, и оно ничего не говорит о криптографии Bitcoin или безопасности приватных ключей пользователей.

Почему ИИ подорвал эмбарго

Разработчики написали, что в последнее время стали чаще получать сообщения об уязвимостях, которые можно легко найти или обнаружить повторно. Они связывают это в основном с языковыми моделями, которые снижают порог для выявления отдельных классов багов и также могут распознавать скрытые исправления — патчи безопасности, внесённые в код без соответствующей пометки.

Этот второй момент подрывает смысл эмбарго — периода, в течение которого сопровождающие удерживают подробности сообщения об уязвимости, пока готовится исправленный релиз. Bitcoin Core — проект с открытым исходным кодом, поэтому исправление видно в публичном коде задолго до публикации его деталей. Если модель может распознать изменение как исправление безопасности, молчание мало что скрывает от атакующих, но при этом откладывает выпуск исправленной версии для пользователей.

«Период эмбарго почти ничего не даёт, но задерживает доступность исправленного релиза», — написали разработчики.

Длительные эмбарго также влияли на то, куда попадали исправления. Разработчики отметили, что их подход обычно означал невозможность переноса исправлений безопасности обратно (бекпорта) в старые, всё ещё поддерживаемые версии — пользователи получали их только со следующим крупным релизом.

Как новое правило меняет сроки

Существующие сроки, изложенные на странице рекомендаций по безопасности проекта, показывают, каким длительным может быть это ожидание. Разработчики определяют классификацию при оценке сообщения.

Ожидается, что новое правило охватит баги, которые можно найти с минимальными усилиями, например с помощью простого запроса к языковой модели, хотя оно не ограничивается находками ИИ. Для таких багов эмбарго по уровню критичности больше не применяется, а подробности могут публиковаться вместе с исправленным релизом, а не после периода ожидания.

Какие узлы получают исправление

Политика сопровождения Bitcoin Core охватывает три последние основные версии. При выпуске новой версии старейшая переходит в статус end of life и, как правило, больше не получает исправлений безопасности.

Узлы, всё ещё работающие на 28.x или более старых версиях, как правило, не получат этих исправлений. Проект стремится выпускать основную версию каждые шесть-семь месяцев, и следующая, 32.0, выведет 29.x из окна сопровождения. Bitcoin Core рекомендует использовать последний релиз сопровождения самой свежей версии, до которой может обновиться оператор, а на странице загрузки объясняется, как проверить контрольные суммы и подписи релиза.

Бекпортирование также зависит от людей. На странице жизненного цикла проекта отмечается, что планка для бекпорта изменений повышается по мере старения версии, а волонтёров для этого не всегда хватает. Доступность ресурсов сопровождения влияла и на другие решения, как показала более ранняя дискуссия о поддержке Bitcoin Core приватной сети CJDNS.

Компромисс и за чем следить

Разработчики рассматривают любую политику безопасности как баланс между прозрачностью, которая помогает и атакующим, и защитникам, и предоставлением пользователям времени на обновление — чего труднее добиться из-за медленной культуры обновлений в Bitcoin Core. Публикация рекомендации одновременно с исправленными релизами означает, что подробности становятся публичными, пока часть узлов всё ещё работает на необновлённом ПО. Для багов, которые атакующие могли бы найти самостоятельно, разработчики считают, что быстрое исправление важнее сохранения деталей в секрете.

Первая рекомендация по безопасности, выпущенная по новому правилу, покажет, насколько быстро точечные релизы — незначительные обновления в рамках основной версии — на практике достигают всех трёх поддерживаемых версий. Отдельно выпуск 32.0 сократит набор узлов, которые могут их получать.

Эта статья предоставлена исключительно в информационных целях и не является финансовой или инвестиционной рекомендацией. Операторам узлов следует следовать официальным примечаниям к релизам Bitcoin Core и инструкциям по проверке.

Источник: Coindoo