Bitcoin Core змінює правила розкриття вразливостей

Bitcoin Core змінює політику розкриття вразливостей. Помилки, які легко виявити за допомогою великих мовних моделей, виправлятимуть у всіх підтримуваних основних версіях. Рекомендації з безпеки публікуватимуть одночасно з оновленнями.

Про це в листі до розсилки Bitcoin Development Mailing List повідомив розробник Bitcoin Core Антуан Пуансо. Раніше інформацію про вразливості приховували протягом періоду ембарго, щоб користувачі встигли оновити програмне забезпечення до публікації технічних деталей. У 2024 році розробники Bitcoin Core запровадили стандартизовану політику повідомлення про вразливості.

За словами Пуансо, великі мовні моделі спростили повторне виявлення окремих програмних помилок. Через це затримка між випуском виправлення та розкриттям інформації часто не дає користувачам додаткового захисту. Водночас вона може відкладати випуск виправлень для старих версій програмного забезпечення.

«Період ембарго дає мало користі, але затримує доступність виправленого релізу», — зазначив Пуансо.

До категорії легко виявлюваних належатимуть вразливості, які можна знайти з мінімальними зусиллями, зокрема за допомогою простого запиту до LLM. Їх виправлятимуть якнайшвидше в усіх підтримуваних основних версіях.

Для інших помилок збережеться поетапне розкриття залежно від рівня небезпеки. Інформацію про вразливості низької тяжкості публікуватимуть через два тижні після виходу основної версії з виправленням. Дані про помилки середньої та високої тяжкості розкриватимуть через два тижні після завершення життєвого циклу останнього вразливого релізу. Зазвичай це відбувається приблизно через рік після випуску нової основної версії з виправленням.

Критичні помилки не входять до стандартної процедури. Для них, імовірно, застосовуватимуть окремий порядок дій, оскільки такі вразливості можуть загрожувати базовій безпеці мережі Bitcoin.

У серпні волонтерська Bitcoin Red Team повідомила майже про 5000 потенційних проблем у 390 проєктах. На той момент дослідники відтворили приблизно п’яту частину з них.

Того ж місяця розробники Core Lightning закликали операторів оновити програмне забезпечення або вимкнути свої вузли після отримання кількох звітів про вразливості, створених за допомогою ШІ. Технічні подробиці цих проблем протягом двох тижнів не розголошували.