Bitcoin Core zmienia politykę z powodu ryzyka związanego z AI
Bitcoin Core szybciej backportuje teraz podatności, ponieważ AI może łatwiej ponownie odkrywać stare luki. Jednocześnie duża część publicznych node’ów nadal działa na przestarzałych wersjach.
Najważniejsze informacje
- Bitcoin Core dostosowuje swoją politykę bezpieczeństwa tak, aby podatności, które łatwo ponownie znaleźć, można było od razu backportować do wszystkich wspieranych linii wersji.
- Zmiana wynika z obaw, że duże modele językowe ułatwiają ponowne odnajdywanie starych podatności, przez co dawny embargowy okres jest mniej skuteczny.
- Według pomiaru 43,6% zbadanych publicznych peerów Bitcoin Core działało na przestarzałym oprogramowaniu bez aktualizacji bezpieczeństwa.
Bitcoin Core zmienił swoją politykę bezpieczeństwa. Deweloperzy mogą teraz od razu backportować poprawki dla podatności, które łatwo ponownie znaleźć, do wszystkich wspieranych linii wersji, wraz z publicznym komunikatem. Zmiana następuje w momencie, gdy duża część zbadanych peerów Bitcoin Core nadal działa na przestarzałym oprogramowaniu.
Nowa polityka dotycząca luk
Nowa polityka została przyjęta 22 października w połączonej propozycji na GitHubie. Do tej pory szczegóły umiarkowanych i poważnych podatności pozostawały tajne do dwóch tygodni po zakończeniu okresu wsparcia ostatniej dotkniętej wersji. Według Bitcoin Core to podejście trzeba zmienić, ponieważ duże modele językowe ułatwiają ponowne odnajdywanie starych podatności.
Deweloperzy mogą teraz podczas oceny wskazać, że luka jest łatwa do ponownego odkrycia, także przez systemy AI. Deweloper Bitcoin Core Antoine Poinsot napisał, że stary okres embarga niewiele daje, ale opóźnia moment, w którym dostępna staje się naprawiona wersja. Jednocześnie ostrzegł, że przez to poprawki mają mniej czasu, by dojrzeć w gałęziach rozwojowych.
Wiele node’ów pozostaje w tyle
Zmiana zbiega się z danymi Karlsruhe Institute of Technology. 18 października 3 671 z 8 422 zbadanych publicznych peerów Bitcoin Core działało na wersjach, które nie otrzymują już aktualizacji bezpieczeństwa. Pomiar obejmował wyłącznie publiczne peery IPv4 i IPv6 z otwartym portem; node’y Tor, prywatnie zarządzana infrastruktura giełd i górników oraz inne niewidoczne node’y nie weszły do próby.
Bitcoin Core utrzymuje obecnie tylko trzy najnowsze główne linie, czyli 29.x, 30.x i 31.x. Na linii 31.x działało 3 243 peerów, na 30.x 712, a na 29.x 635. Reszta znajdowała się na 28.x lub starszych wersjach. Gdy wyjdzie wersja 32.0 i 29.x wypadnie ze wsparcia, przy tej samej próbie 51,1% zbadanych peerów działałoby na przestarzałym oprogramowaniu. To scenariusz obliczeniowy, a nie prognoza.
Dlaczego to ma znaczenie
Dla użytkowników Bitcoina i operatorów node’ów pokazuje to, jak szybko zmienia się krajobraz bezpieczeństwa. Połączenie AI i starszego oprogramowania utrudnia projektom długie ukrywanie podatności, podczas gdy wiele node’ów nadal nie zostało zaktualizowanych. Może to być istotne także dla podmiotów, które uruchamiają infrastrukturę Bitcoina, takich jak portfele i inne usługi korzystające z własnych node’ów, ponieważ aktualizacje i zgodność stają się coraz ważniejsze.
Dyskusja dotyczy też szerszego trendu w krypto: aktualizacje oprogramowania są często odkładane, choć właśnie tam mogą kryć się największe ryzyka. W tym przypadku nie chodzi o ruch rynkowy, lecz o pytanie, jak otwarta sieć utrzymuje swoje bezpieczeństwo, gdy nowe techniki ataku stają się dostępne szybciej. To napięcie dotyczy także obszarów poza podstawowym oprogramowaniem, na przykład przygotowań na przyszłe zagrożenia bezpieczeństwa, gdzie deweloperzy już zastanawiają się, jak Bitcoin może bronić się przed nowymi wektorami ataku.
