বিটকয়েন কোর সহজে আবিষ্কারযোগ্য বাগের জন্য এক বছরের বন্ধন শেষ করল

বিটকয়েন কোর একটি ভাষা মডেলের একটি একক প্রম্পটে আবার খুঁজে পাওয়া যায় এমন সিকিউরিটি প্যাচের এক বছরের অপেক্ষা শেষ করছে। অক্টোবর ২২-এ মার্জ করা প্রজেক্টের সিকিউরিটি ডিসক্লোজার পলিসি-এর একটি পরিবর্তন “সহজেই খুঁজে পাওয়া যায়” ধরনের ভালনারেবিলিটি তৈরি করে এবং মেইনটেইনারদের একটি পয়েন্ট রিলিজ এবং একটি পাবলিক অ্যাডভাইজারি “যত তাড়াতাড়ি সম্ভব” প্রকাশ করার নির্দেশ দেয় — যা মাঝারি বা উচ্চ-গুরুত্বপূর্ণ বাগটিকে প্রায় এক বছর ধরে গোপন রাখে।

ট্রিগারটি সরাসরি। মেইনটেইনারদের বাগের বেশি রিপোর্ট পাওয়া যাচ্ছে, যেগুলো আবার আবিষ্কৃত হচ্ছে, কারণ ভাষা মডেলগুলি তাদের খুঁজে বার করার প্রচেষ্টা কমিয়েছে। চেইনকোড ল্যাবসের বিটকয়েন কোর অবদানকারী অ্যান্টওয়ান পোয়ানসোট একই দিনে পুল রিকোয়েস্টটি মার্জ হওয়ার সময় বিটকয়েন ডেভেলপমেন্ট মেইলিং লিস্টে এই পরিবর্তনটি ঘোষণা করেন।

“আমরা সাম্প্রতিককালে সুরক্ষা দুর্বলতার সংখ্যা বৃদ্ধি পেয়েছি, যেগুলো সহজেই (পুনরায়) আবিষ্কার করা যায়,” পোয়ানসো লিখেছেন। “এটি প্রধানত LLM-এর কারণে যেগুলো নির্দিষ্ট ধরনের সমস্যা বা গোপন সমাধানগুলি চিহ্নিত করার বাধা অনেক কমিয়ে দিয়েছে।”

বিটকয়েন কোরের পূর্ববর্তী নীতি প্রকাশের সময়কে গুরুত্বের সাথে সংযুক্ত করেছিল। কম গুরুত্বপূর্ণ বাগগুলি পরবর্তী প্রধান রিলিজ চালু হওয়ার দুই সপ্তাহ পরে প্রকাশিত হত। মাঝারি এবং উচ্চ গুরুত্বপূর্ণ বাগগুলি শেষ প্রভাবিত রিলিজটি সমাপ্তির দিনে পৌঁছানোর দুই সপ্তাহ পর্যন্ত গোপন রাখা হত—এই সময়কালটিকে নীতিটি নিজেই “সংশোধনসহ একটি প্রধান ভার্সন প্রথমবারের মতো প্রকাশিত হওয়ার প্রায় এক বছর পর” হিসাবে বর্ণনা করেছে।

সেই সময়সূচী একটি কারণে বিদ্যমান ছিল। বিটকয়েন কোর হল বিটকয়েনের বেশিরভাগ নোড চালানোর রেফারেন্স ইমপ্লিমেন্টেশন, এবং নোড অপারেটররা ধীরে ধীরে আপগ্রেড করে। বিস্তারিত প্রকাশের আগে নেটওয়ার্ককে প্যাচ করার জন্য একটি দীর্ঘ নিষেধাজ্ঞা দেওয়া হয়েছিল। এর বিনিময়ে সাধারণত ফিক্সগুলি পুরনো ভার্সনে ব্যাকপোর্ট করা হত না, তাই পুরনো রিলিজের একজন অপারেটরকে পরবর্তী মেজর ভার্সনের জন্য অপেক্ষা করতে হত, যা প্রকল্পটি প্রায় প্রতি ছয় মাসে শিপ করার লক্ষ্যে।

সতর্কতা গঠনগত, দুর্ঘটনাজনিত নয়। বিটকয়েনের ট্যাপরুট আপগ্রেড এর মতো সমঝোতাগত পরিবর্তনগুলি ধীরে এবং সাবধানে পথ অনুসরণ করে, যাতে অপারেটররা নিজেদের সময়সূচীতে এগুলি গ্রহণ করতে পারে।

“আমাদের প্রকল্পের প্রকৃতি এবং ধীর আপগ্রেড সংস্কৃতির কারণে, আমাদের নিরাপত্তা নীতি একটি দীর্ঘতর নিষেধাজ্ঞা সময়কালকে প্রাধান্য দেয়,” পোয়ানসো লিখেছেন। “এটি সাধারণত বোঝায় যে নিরাপত্তা সংশোধনগুলি ব্যাকপোর্ট করা যায় না, এবং শুধুমাত্র পরবর্তী প্রধান রিলিজের সাথে ব্যবহারকারীদের কাছে উপলব্ধ হয়।”

AI এই ব্যালেন্স ভাঙে। যদি একটি বাগ একটি সহজ LLM স্ক্যান দিয়ে আবার খুঁজে পাওয়া যায়, তবে এটিকে লুকিয়ে রাখলে কিছুই লাভ হয় না, কারণ এই ত্রুটিটি এখন যেকোনো চ্যাটবট ধারণকারীর হাতের মুঠোয়। “এই ধরনের সমস্যাগুলির জন্য, যা খুঁজে পাওয়া সহজ, এটি ভুল ব্যালেন্স। গোপনীয়তা সময়কালটি প্রায় কিছুই অর্জন করে না, কিন্তু এটি একটি সংশোধিত রিলিজের উপলব্ধতা বিলম্বিত করে,” পোয়ানসোট লিখেছেন।

পুনর্বিবেচিত নীতির অধীনে, প্রকাশের ঘড়িতে এখন তৃতীয় সেটিং রয়েছে। একটি দুর্বলতাকে ট্রায়েজ করার সময় “সহজেই আবিষ্কারযোগ্য” হিসাবে চিহ্নিত করা যেতে পারে—যা সংজ্ঞায়িত “সর্বনিম্ন প্রয়াসে আবিষ্কার করা যায়, যেমন একটি সাধারণ LLM প্রম্পটের মাধ্যমে।” এই লেবেলটি শুধুমাত্র AI-দ্বারা আবিষ্কৃত বাগগুলিকেই সীমাবদ্ধ করে না: এটি পুনরায় আবিষ্কারের জন্য কতটা কম প্রয়াস লাগে, তা নির্দেশ করে, যে টুলটি আবিষ্কার করেছে তা নয়।

এই বাগগুলির জন্য, প্রতিটি অক্ষে প্রতিক্রিয়া পরিবর্তিত হয়। পরবর্তী প্রধান রিলিজে একটি একক ফিক্স প্রয়োগ করার পরিবর্তে, মেইনটেনাররা বিটকয়েন কোরের সর্বশেষ তিনটি রিলিজকে সমর্থন করার নিয়মের অধীনে বর্তমানে সমর্থিত প্রতিটি প্রধান সংস্করণে ফিক্স ব্যাকপোর্ট করবে—এবং যত দ্রুত সম্ভব পয়েন্ট রিলিজ প্রকাশ করবে। প্যাচযুক্ত সফটওয়্যারের সাথে একটি সিকিউরিটি অ্যাডভাইজারি প্রকাশ করা হবে।

গুরুত্বের সিঁড়ি এখনও সবকিছুকে নিয়ন্ত্রণ করে। কম গুরুত্বপূর্ণ বাগগুলি দুই সপ্তাহের সময়সূচীতে থাকবে। মাঝারি এবং উচ্চ গুরুত্বপূর্ণ বাগগুলি প্রায় এক বছরের ঘড়িতে থাকবে। গুরুতর বাগগুলি — যেগুলি প্রোটোকল স্তরে কয়েন চুরি করতে, সরবরাহ বাড়াতে বা চেইনকে স্থায়ীভাবে বিভক্ত করতে পারে — স্ট্যান্ডার্ড নীতিমালার বাইরে রয়েছে এবং যেমনটি সবসময় ছিল, তেমনি প্রতিটি ক্ষেত্রে বিশেষভাবে পরিচালিত হয়।

এই ব্যতিক্রমটি ভালো কারণে আছে। বিটকয়েন কোরের ইতিহাসে, সেপ্টেম্বর 2018-এ CVE-2018-17144 হিসাবে প্রকাশিত ইনফ্লেশন বাগটি এমন একটি ত্রুটি ছিল যা বিশেষ হ্যান্ডলিংয়ের যোগ্য ছিল: এটি মুদ্রণের সময়সূচির বাইরে কয়েন তৈরির অনুমতি দিতে পারত। নতুন “সহজেই আবিষ্কারযোগ্য” পথটি সেই স্তরকে স্পর্শ করে না—একটি গুরুতর বাগ এখনও পুরো নেটওয়ার্কের ঝুঁকির ভিত্তিতে একটি অ্যাড হক প্রতিক্রিয়া পাবে।

পরিবর্তনটি প্রকাশ জানানোর উইন্ডোতে একটি সংকুচিত রূপ হিসেবে সহজেই পড়া যায়। আজ সমাধান করা একটি মাঝারি গুরুত্বের বাগটি সাধারণত 52 সপ্তাহ ধরে গোপন থাকবে, শেষ প্রভাবিত রিলিজটির জীবনকাল শেষ হওয়ার দুই সপ্তাহ পরেই প্রকাশিত হবে। একই বাগটি, যদি সহজেই খুঁজে পাওয়া যায় বলে চিহ্নিত করা হয়, তবে এর সঙ্গে একটি অ্যাডভাইজরির সাথে “যতদ্রুত সম্ভব” একটি পয়েন্ট রিলিজ হিসেবে প্রকাশিত হবে। এটি এক বছরের মধ্যে পার্থক্য, যা মেইনটেইনারদের নিজস্ব বর্ণনা অনুযায়ী, একটি লক্ষ্যযুক্ত প্যাচ লিখতে, পর্যালোচনা করতে এবং পরীক্ষা করতে যতক্ষণ সময় লাগে, ততক্ষণ।

ব্যাকপোর্ট প্রতিশ্রুতি হল অন্য অর্ধেক। পরিবর্তনের আগে, একটি সংশোধন সাধারণত পুরনো বজায় রাখা শাখায় ব্যবহারকারীদের পৌঁছাত না; এটি পরবর্তী প্রধান রিলিজের সাথে আসত। এখন একজন অপারেটর যদি পুরনো সমর্থিত ভার্সনে থাকেন, তবে সে সর্বশেষ প্রধান ভার্সনের সমস্ত ফিচার এবং আচরণের পরিবর্তন গ্রহণ না করেই একটি লক্ষ্যযুক্ত পয়েন্ট রিলিজ নিতে পারেন। একটি নেটওয়ার্কের জন্য, যেখানে আপগ্রেড ধীর এবং সচেতনভাবে হয়, এটি একটি প্যাচ কতটা দ্রুত বাস্তবে ল্যান্ড করতে পারে তার উপর একটি উল্লেখযোগ্য পরিবর্তন।

দ্রুততর পথের একটি খরচ আছে, এবং পয়নসো পুল রিকোয়েস্টে এটি স্পষ্টভাবে বলেছেন। “এই নীতির অধীনে, বিকাশ শাখাগুলিতে ব্যবহারকারীদের কাছে প্রকাশের আগে উপায়গুলির কম ‘বেক টাইম’ থাকবে,” তিনি লিখেছেন। কয়েক দিনের মধ্যে চালু হওয়া একটি সমাধান কম সময় পর্যালোচনা এবং পরীক্ষায় ব্যয় করে, যা মাসের পর মাস ধরে অপেক্ষা করেছিল।

আলোচনাটি এই বিষয়েও বিভক্ত হয়েছিল যে প্রকাশ আরও দ্রুত হওয়া উচিত কিনা। কিছু অবদানকারী যুক্তি দেন যে একটি ফিক্সের পুল রিকোয়েস্ট খোলা নিজেই হামলাকারীদের সতর্ক করতে পারে, কারণ রিপোজিটরি অটোমেটিকভাবে দেখে রাখা খুবই সস্তা, তাই প্রকাশ প্যাচের সাথে বা তার আগেই, হ্রাস প্রস্তাবনা সহ হওয়া উচিত। অন্য একজন অবদানকারী প্রস্তাব করেন যে ফিক্সগুলি একটি ঐচ্ছিক বা বিলম্বিত সতর্কতা সহ চালু করা হোক। পয়নসোট এটি প্রত্যাখ্যান করেন, লিখেছেন যে বিস্তারিত ছাড়াই ব্যবহারকারীদের সতর্ক করলে যারা কখনও প্রভাবিত হয়নি, তাদেরকে দ্রুত মigratior-এর দিকে ঠেলে দিতে পারে।

এক্সচেঞ্জটি গুরুত্বপূর্ণ কারণ এটি দেখায় যে নতুন নীতিটি একটি স্পষ্ট পথ নয়, বরং একটি ইচ্ছাকৃত মধ্যপথ। একীভূত টেক্সটটি সতর্কবার্তাটিকে সংশোধনের সাথে একসাথে রাখে এবং একটি অস্পষ্ট সতর্কবার্তার পরিবর্তে পূর্ণ বিস্তারিত রাখে।

এখন পর্যন্ত নতুন ক্লাসে কোনো ভালনারেবিলিটি যোগ করা হয়নি, তাই এটি একটি প্রক্রিয়ার পরিবর্তন, একটি লাইভ বাগের প্রকাশ নয়। প্রথম প্রকৃত পরীক্ষা আসবে যখন মেইনটেইনাররা ট্রিয়েজের সময় কিছুকে “সহজেই আবিষ্কারযোগ্য” হিসাবে চিহ্নিত করবেন এবং সমস্ত মেইনটেইনড ব্রাঞ্চে একসাথে এডভাইজরির সাথে পয়েন্ট রিলিজ শিপ করবেন।

প্রসারিত সংকেতটি হল যে এআই-সহায়িত বাগ খোঁজা ইতিমধ্যেই বিটকয়েন বাস্তুতন্ত্রকে চলে যেতে বাধ্য করেছে। কোর লাইটনিং এই বছরের শুরুতে নোড অপারেটরদের বলেছিল আপগ্রেড করুন বা ডিসকানেক্ট করুন, কারণ এআই-উত্পাদিত ভালনারেবিলিটি রিপোর্টগুলি সঠিক প্রমাণিত হয়েছিল। বিটকয়েন কোরের নীতির পরিবর্তনটি প্রোটোকলের বেস লেয়ারে একই গণনা করছে: যখন পুনরায় আবিষ্কার সহজ, তখন গোপনীয়তা কমই কিনে, এবং দীর্ঘ নিষেধাজ্ঞা শুধুমাত্র নির্ধারিত রিলিজটি বিলম্বিত করে।

নোড অপারেটরদের জন্য আজ কিছুই পরিবর্তিত হয়নি। আপগ্রেডের ক্যাডেন্স একই থাকবে। পার্থক্যটি পরবর্তী বার আসবে, যখন একটি বাগ সহজে আবিষ্কারযোগ্য হিসাবে যোগ্য হবে, যখন একটি প্যাচ এবং এর সতর্কবার্তা একসাথে নেটওয়ার্কের যতটা কখনও অপেক্ষা করেনি তার চেয়ে কম সময়ে চলে আসবে।