„Bitcoin Core“ pagreitina saugos pataisymus, nes 44% apklaustų mazgų veikia nepalaikomomis versijomis

„Bitcoin Core“ spalio 22 d. sujungė politikos pakeitimą, leidžiantį kūrėjams lengvai iš naujo aptiktų pažeidžiamumų pataisymus į kiekvieną palaikomą laidų eilutę ir kartu su jais paskelbti įspėjimą.

Spalio 18 d. tinklo momentinė nuotrauka rodo, kad 3 671 iš 8 422 „Bitcoin Core“ partnerių (43,6 %) naudojo išleidimo linijas, kurios jau buvo pasibaigusios.

Skaičius gaunamas iš prijungtų viešųjų kolegų Karlsrūhės technologijos instituto Bitcoin tinklo monitoriuje ir atspindi tinkamumą išlaikyti.

Nepalaikomos versijos mazgas gali tinkamai patvirtinti blokus, o paveikslėlis neįvertina kompromiso.

Kas pasikeitė Bitcoin spalio 22 d

Pagal senąją politiką vidutinio ir didelio sunkumo pažeidžiamumui buvo taikomas embargas iki dviejų savaičių nuo paskutinio paveikto leidimo galiojimo pabaigos.

Tai gali reikšti maždaug metus nuo pataisymo iki išsamios informacijos paskelbimo. Ilgi embargai taip pat neskatino atvirai grąžinti pataisymo atgal, nes pats atgalinis portavimas gali atskleisti trūkumą.

Antoine’as Poinsotas spalio 22 d. pranešime teigė, kad susitarimas puikiai dera su klaidomis, kurias AI sistemos gali atrasti iš naujo:

„Ebargo laikotarpis mažai pasiekiamas, tačiau jis atitolina fiksuoto leidimo prieinamumą.

Kūrėjai dabar gali pažymėti trūkumą kaip lengvai aptinkamą rūšiavimo metu – testą, pagrįstą tuo, kaip lengvai jį galima rasti arba atrasti iš naujo, įskaitant didelių kalbų modelius.

Tie pataisymai patenka į visas prižiūrimas pagrindines linijas per taškinius leidimus, kartu paskelbiant įspėjimą, o kiti pažeidžiamumai taikomi pagal standartinį sunkumo tvarkaraštį. Poinsotas spalio 20 d. diskusijoje pripažino, kad tai kainuoja, ir pažymėjo, kad „švelninimo priemonės neturės tiek daug „kepimo laiko“ plėtros srityse“.

Naujoji kategorija laukia savo pirmojo viešo naudojimo nuo spalio 23 d. AI remiamos kampanijos, tokios kaip Bitcoin Red Team, sukuria daugybę kandidatų radinių.

Atramos skardis

Bitcoin Core palaiko tris naujausias pagrindines linijas, šiuo metu 29.x, 30.x ir 31.x. Momentinėje nuotraukoje rasta 3 243 lygiaverčiai 31.x, 712 lygiaverčiai 30.x ir 635 29.x, o 3 671 lygiaverčiai 28.x ir senesniuose versijose jau nepalaikomi.

Oficialiai išleidus 32.0 versiją, 29.x palieka priežiūros langą. Jei pavyzdys liktų nepakitęs, 4 306 iš 8 422 partnerių arba 51,1 % būtų nepalaikomose eilutėse.

Matavimas apima 8 422 „Bitcoin Core“ bendraamžius iš 9 691 prijungto IPv4 ir IPv6 lygiaverčio, ​​todėl tik „Tor“ ir neklausantys mazgai nepatenka į jį, taip pat infrastruktūrą, kurią privačiai valdo biržos, saugotojai ir kalnakasiai.

Programinės įrangos versijos pateikiamos savarankiškai, o Bitcoin Knots ir kiti diegimai skaičiuojami atskirai.

Ankstesnis „CryptoTicker“ įvertinimas 60,4 % apėmė 4 459 mazgų, kurie laikosi kitokios priežiūros grafiko, todėl apibūdina skirtingą populiaciją. Prižiūrimos pagrindinės versijos mazgas taip pat gali nepataisyti, jei jo operatorius praleidžia naujausią taško leidimą.

Kodėl Bitcoin operatoriai gali laukti

Atnaujinimai yra savanoriški ir kiekvienas iš jų yra operatyvinis darbas. „Core 32“ perjungia numatytąjį iš dalies pasirašytų „Bitcoin“ operacijų formatą iš 0 versijos į 2 versiją.

Naudotojas spalio 14 d. pranešė, kad failų, sugeneruotų naudojant naują grafinę piniginę, nepavyko importuoti senesniuose „Core“ bendraautoriuose naudojant kelių parašų sąranką. Taisymas buvo atidėtas link 32.1, o RPC vartotojai gali prašyti senesnio formato.

Organizacija, koordinuojanti pasirašytojus, piniginės programinę įrangą ir valdiklius, turi priežastį išbandyti prieš atnaujindama.

CVE-2024-52911, didelio sunkumo naudojimas po nemokamo bloko patvirtinimo, paveiktos versijos, naujesnės nei 0.14.0 ir senesnės nei 29.0, ir sukurtas netinkamas blokas gali sugadinti mazgą.

Eksploatacijai reikėjo iškasti bloką su pakankamais darbo įrodymais, todėl tai yra daug brangesnė nei nebrangi tinklo pranešimų ataka. Kūrėjai gavo ataskaitą 2024 m. lapkričio mėn., 2025 m. balandžio mėn. ją pataisė 29.0 ir paskelbė 2026 m. gegužės 5 d., maždaug po 388 dienų, kai pasibaigė paskutinis paveiktas palaikomasis leidimas.

Core 32.0 laidos pastabose teigiama, kad trys vidutinio ar didelio sunkumo pažeidžiamumai, pataisyti 30.0 versijoje, bus atskleisti praėjus dviem savaitėms po naujojo leidimo.

30.0 versija buvo išsiųsta 2025 m. spalio mėn., todėl planuojami atskleidimai iliustruoja senąjį embargo modelį. Nuo spalio 24 d. atsisiuntimų kataloge vis dar buvo nurodytos išleidimo kandidatūros, o gyvavimo ciklo puslapyje 32.0 išleidimo data buvo nurodyta kaip TBA.

„Bitcoin Core“ griežtumo politika yra „kritinė“ dėl gedimų, tokių kaip neteisėtas išleidimas arba nuolatinis grandinės padalijimas, o naujoji politika pakeičia saugumo koordinavimą ir palieka sutarimo taisykles taip, kaip parašyta.

Kitas testas yra operatoriaus priėmimas

Greitesni pataisymai apsaugo mazgus tik operatoriams juos įdiegus. Stebėdami tą patį monitorių po Core 32.0 pristatymo, kai pavyzdžio pakeitimai bus atskirti nuo atnaujinimų, parodys, ar operatoriai pereina prie palaikomų versijų.