Metų senumo „Bitcoin Lightning“ saugos pataisų vis dar trūksta 71% pažymėtų mazgų
Beveik trys ketvirtadaliai viešųjų „Bitcoin Lightning“ mazgų, kurie buvo nustatyti rugpjūtį, liko paveiktose programinės įrangos linijose spalio mėn.
Spalio 21 d. atliktas tyrimas parodė, kad 71 % iš 550 viešųjų LND mazgų grupės, pažymėtos per rugpjūčio 11 d. saugumo atskleidimą, nuo spalio 13 d. vis dar veikė paveiktose programinės įrangos leidimo linijose.
Per tą laikotarpį buvo atnaujinta tik apie 10%, o 108 mazgai nebebuvo klasifikuojami kaip veikiantys. Išvados rodo, kad saugumo pataisymai kai kuriuos „Lightning“ operatorius pasiekia gerokai po jų išleidimo datų.
Vėlavimai ypač ryškūs, nes šešių pažeidžiamumų, apie kuriuos pranešta rugpjūčio mėn., pataisos buvo prieinamos nuo LND 0.19.0 versijos, išleistos likus 446 dienoms iki viešo įspėjimo.
LND yra viena iš programinės įrangos diegimų, naudojamų valdyti mazgus Bitcoin’s Lightning Network, kuris apdoroja mokėjimus už pagrindinio blokų grandinės operacijų lygmens.
„Lightning“ atnaujinimai vykdomi pagal platformos leidimus, o ne perspėjimus apie saugumą
Saurabh Kumar iš „Bitcoin Data Labs“ atliktas tyrimas parodė, kad didžiausios tinklo programinės įrangos atnaujinimo bangos atidžiai seka „Umbrel“ – platformos, kurioje supakuota Bitcoin mazgo programinė įranga, leidimus.
Trys didžiausios bangos apėmė nuo 262 iki 385 mazgų, o mažiausiai 87 % dalyvaujančių mazgų transliavo atnaujintas programinės įrangos funkcijas per 48 valandas nuo Umbrel išleidimo.
Tačiau „Umbrel“ šias versijas išplatino praėjus 19–41 dienai po atitinkamų LND leidimų, todėl atsirado dar vienas galimas vėlavimas tarp kūrėjų, pateikusių pataisymus, ir operatorių, gaunančių juos per pageidaujamas platformas.
Asociacija teigia, kad programinės įrangos platinimo kanalai gali reikšmingai paveikti tai, kaip greitai Bitcoin mokėjimo infrastruktūra priims saugumo patobulinimus. Tyrimo metu nepavyko nustatyti, kurias platformas naudojo atskiri mazgai, todėl konkretus automatinių atnaujinimų vaidmuo liko neišspręstas.
Viešojo saugumo įspėjimai pasirodė ne tokie veiksmingi keičiant operatoriaus elgesį.
Devyniuose LND pažeidžiamumo atskleidimo metu tyrėjas nerado statistiškai aptinkamo pagreičio mazguose, nutolusiuose nuo paveiktų programinės įrangos linijų. Išvados neatmeta mažesnių atsakymų, tačiau jie rodo, kad po atskleidimo nebuvo aiškus, plačiai paplitęs atnaujinimo padidėjimas.
Vėlavimai taip pat apima ne tik saugumo incidentus. Mazgai, naudojantys senesnę programinę įrangą, kai tapo prieinamos LND versijos nuo 0.19 iki 0.21, vidutiniškai perėjo į naujesnes leidimo linijas per 88 dienas.
Vis dėlto galimas poveikis yra netolygiai paskirstytas „Lightning“ mokėjimo infrastruktūroje.
Rugpjūčio atskleidimo metu paveiktos išleidimo linijos sudarė 14,9 % veikiančių LND mazgų, bet tik 6,4 % jų kanalo pajėgumo, neįskaitant nustatyto valdomo laivyno. Šis skirtumas rodo, kad paveikti mazgai valdė santykinai mažesnę mokėjimų likvidumo dalį.
Tyrėjas išanalizavo 814 kasdienių „Lightning“ viešojo tinklo grafiko momentinių nuotraukų, naudodamas reklamuojamas programinės įrangos funkcijas, kad nustatytų išleidimo linijas. Metodas negali nustatyti tikslių pataisų versijų, o mazgai, kurie atnaujinami netransliuodami naujų pranešimų, ir toliau gali būti rodomi. Tikrasis išnaudojamumas taip pat priklauso nuo pažeidžiamumo ir mazgo konfigūracijos.
Kumaras kartu su išankstiniu spausdinimu paskelbė tyrimo kodą ir apibendrintus duomenis, leidžiančius toliau tikrinti išvadas. Atlikus tyrimą, mazgų programinės įrangos kūrėjai ir platformų platintojai susiduria su neišspręstu veiklos klausimu: kaip sutrumpinti savaites ar mėnesius nuo saugos pataisų išleidimo iki jų įdiegimo „Lightning“ viešajame tinkle.
