Core Lightning, реализация Lightning Network, поддерживаемая компанией Blockstream, занимающейся инфраструктурой Bitcoin, призвала операторов узлов обновиться до версии 26.06.7 после того, как разработчики выявили в программном обеспечении несколько уязвимостей безопасности.

Экстренный релиз, выпущенный 28 августа, устраняет проблемы, выявленные в ходе 10-дневной проверки, которая включала отчеты по безопасности, сгенерированные с помощью искусственного интеллекта. Разработчики подтвердили часть находок и выпустили исправления, сохранив технические детали в тайне в рамках двухнедельного эмбарго на раскрытие информации. Подобные автоматически сгенерированные отчеты обычно требуют проверки человеком, поскольку в них могут быть ложноположительные результаты, поэтому верификация остается центральной частью процесса.

Core Lightning, написанная на C и ранее известная как c-lightning, является одной из основных реализаций протокола Lightning наряду с LND от Lightning Labs и Eclair от ACINQ. Она используется операторами, которые запускают узлы Lightning Network — платежной инфраструктуры второго уровня, построенной поверх Bitcoin и обрабатывающей платежи вне блокчейна для более быстрых и дешевых транзакций перед их окончательным расчетом в блокчейне. Разработчики не раскрыли полную природу уязвимостей, поэтому их потенциальное влияние остается неясным.

Операторы сталкиваются с дедлайном

Эмбарго предназначено для того, чтобы дать операторам время установить исправления до того, как исследователи опубликуют детали в середине сентября. Такие согласованные окна раскрытия — стандартная практика в области безопасности ПО, когда будущую публикацию деталей сопоставляют с необходимостью пользователей сначала успеть установить обновления. Узлы, которые останутся без исправлений, могут столкнуться с более высоким риском после того, как уязвимости станут известны.

Core Lightning рекомендует использовать подписанные бинарные файлы при установке версии 26.06.7. Операторы, которые не могут обновиться немедленно, могут использовать флаг –offline, который запускает узел без подключения к Lightning Network, чтобы наблюдать за своими узлами до завершения обновления.

Устаревшие версии теряют поддержку

Версии 26.04 и более старые больше не получают исправления безопасности. Последний релиз следует за версией 26.06.6, опубликованной 22 июля. Ранее в этом году разработчики исправили уязвимости, связанные с отказом в обслуживании, затрагивавшие версии 26.04 и 26.06rc2.

Последние находки усиливают продолжающееся внимание к безопасности Lightning Network, поскольку автоматизированные инструменты упрощают выявление слабых мест в широко используемом ПО. Проверка с участием ИИ все активнее применяется в сфере безопасности открытого кода: платформы для fuzzing и code review добавляют компоненты на основе языковых моделей, и эта проверка следует той же схеме: машины расширяют поиск, а сопровождающие подтверждают то, что выдерживает проверку. Полные технические детали, которые будут раскрыты после снятия эмбарго в середине сентября, покажут, что именно выявил этот процесс.

Источник: CryptoNewsNet