Kaj se je točno zgodilo?
Bitcoin Core, najbolj uporabljana programska implementacija bitcoinovega omrežja, je po skladnih poročilih Decrypt, CoinDesk in Cointelegraph spremenil svojo varnostno politiko. Odslej bodo razvijalci pri ranljivostih, ki so označene kot "zlahka odkrite" (easily discoverable), popravke vgrajevali takoj (t. i. backport) in izdajali nove različice, namesto da bi jih zadrževali pod dolgim embargom.
Embargo je obdobje, med katerim se informacije o napaki ohranjajo v tajnosti, da napadalci ne dobijo navodil, preden so uporabniki zaščiteni. Ta logika deluje le tedaj, če je napako težko odkriti. Po navedbah CoinDesk in Cointelegraph Bitcoin Core argumentira, da pri delu napak skrivanje ne prinaša več velike zaščite.
Zakaj razvijalci to počnejo prav zdaj?
Ključni sprožilec je prihod orodij AI, ki so sposobna iskati napake v kodi. Po navedbah CoinDesk je AI med poletjem odkrila na stotine bitcoinovih napak prej kot ljudje. Decrypt opisuje jedro problema takole: če lahko napadalec napako znova odkrije z enim samim pozivom v klepetalnem robotu, potem dolgo skrivanje le podaljšuje čas, v katerem so uporabniki ranljivi, ne da bi jim resnično pomagalo.
Z drugimi besedami, nekdanja prednost branilcev (da je napaka "skrita") se z orodji AI krči. Ko je iskanje napake trivialno za kogarkoli z dostopom do modela, je hitra izdaja popravka varnejša od čakanja.
Kaj točno pomeni "zlahka odkrito"?
Tu je treba biti natančen. Viri opisujejo nov pristop za napake, razvrščene kot zlahka odkrite, pri katerih se predpostavlja, da jih napadalec lahko znova najde z minimalnim naporom. Kako natančno bo Bitcoin Core posamezne napake uvrščal v to kategorijo in kdo o tem odloča, iz razpoložljivih virov ni jasno razvidno. To je zaenkrat nejasno.
Prav tako iz citiranih virov ni jasno, ali se spreminja postopek pri bolj zapletenih ranljivostih, ki jih AI zaenkrat običajno ne odkrije. Pri teh ima lahko usklajeno razkritje in embargo še naprej smisel.
Kako se to umešča v širšo sliko varnosti?
Širši kontekst leta je napet. The Block je v istem obdobju poročal, da je omrežje Initia ustavilo delovanje po varnostnem incidentu, pri čemer naj bi napadalec koval žetone, podatki na verigi pa so pokazali prenos etra v vrednosti približno 2,7 milijona dolarjev. Gre za drug projekt in drugačno vrsto incidenta kot sprememba politike pri Bitcoin Core, a ponazarja okolje, v katerem se odloča o hitrosti odziva na ranljivosti.
Pozor na vzročnost: nič v virih ne povezuje incidenta pri Initii neposredno s spremembo pravil Bitcoin Core. Gre za dva samostojna dogodka iz istega tedna.
Na kaj pri tej vrsti sprememb paziti naprej
- Kako bo v praksi delovala razvrstitev "zlahka odkritih" napak in kako transparentno jo bodo razvijalci objavili.
- Ali bo hitrejše izdajanje popravkov vodilo do pogostejših posodobitev vozlišč in kako se bodo na to odzvali upravljavci.
- Ali bodo drugi veliki projekti (ne le bitcoinovi) zaradi AI prilagodili svoje politike razkrivanja v podobni smeri.
Charliedesk ne daje priporočil, kaj početi s katerimkoli sredstvom. To je opis tega, kaj se je zgodilo in zakaj so to po navedbah virov razvijalci storili.