TL;DR: Bitcoin Core telah mengadopsi perbaikan dan pengungkapan yang lebih cepat untuk kerentanan yang mudah ditemukan kembali, termasuk dengan AI. Masa penundaan yang lebih panjang tetap tersedia untuk celah keamanan lainnya.
Bitcoin Core mengubah jadwal untuk menangani kelemahan keamanan yang dapat ditemukan penyerang dengan sedikit usaha. Pertanyaan praktisnya adalah apakah menunggu untuk menjelaskan bug masih melindungi pengguna ketika perangkat lunak dapat menemukan kembali hampir segera.
Pembaruan kebijakan yang digabungkan pada 22 Oktober menciptakan jalur yang lebih cepat untuk kasus-kasus ini. Pengembang Antoine Poinsot berpendapat bahwa model bahasa besar telah membuat beberapa masalah lebih mudah ditemukan, termasuk dengan mengidentifikasi perbaikan yang dimaksudkan untuk menarik perhatian sedikit.
Itu menciptakan pilihan sulit bagi para pemelihara perangkat lunak Bitcoin: menahan detail dapat membeli waktu pembaruan, tetapi menunda patch yang dapat digunakan juga dapat membuat operator tetap rentan.
Rilis Lebih Cepat untuk Menemukan Kembali Kelemahan dengan Mudah
kebijakan pengungkapan yang diperbarui memungkinkan pengembang mengklasifikasikan kerentanan yang dilaporkan sebagai mudah ditemukan. Sebuah prompt AI sederhana adalah salah satu contohnya; kategori ini juga mencakup masalah yang ditemukan dengan upaya minimal melalui cara lain.
Untuk kerentanan tersebut, pemelihara berencana untuk merilis perbaikan untuk setiap versi utama yang didukung secepat mungkin, disertai dengan advisory keamanan. Kasus-kasus ini melewati embargo biasa yang terkait dengan tingkat keparahan.
Perbedaan ini penting bagi sebuah bursa atau bisnis pembayaran yang menjalankan nodenya sendiri. Rilis titik dapat memberikan perbaikan terfokus tanpa harus menunggu versi perangkat lunak utama berikutnya. Saran juga membantu operator menilai apakah konfigurasi khususnya terdampak.
Aturan pengungkapan lainnya tetap berlaku. Masalah tingkat rendah biasanya menjadi publik dua minggu setelah rilis utama yang berisi perbaikan. Masalah tingkat menengah dan tinggi umumnya menunggu hingga dua minggu setelah versi terakhir yang terdampak mencapai akhir masa dukungannya. Kerentanan kritis tetap memerlukan penanganan individu.
Kurang Kerahasiaan Juga Berarti Waktu Pengujian Lebih Sedikit
Diskusi yang menyertai perubahan jelas menunjukkan bahwa kecepatan memiliki biaya. Ponsot mencatat bahwa mitigasi yang dipercepat akan menghabiskan lebih sedikit waktu di cabang pengembangan sebelum mencapai pengguna. Oleh karena itu, pengembang harus menimbang risiko terungkapnya kelemahan terhadap risiko memperkenalkan perbaikan yang cacat.
Untuk bisnis yang menyediakan custody, pelajaran operasionalnya adalah kesiapan patch harus ditempatkan sejajar dengan keamanan utama. Mempertahankan inventaris versi perangkat lunak terkini, memahami layanan mana yang bergantung padanya, dan memiliki proses pembaruan yang terkendali dapat membuat periode pemberitahuan singkat lebih mudah dikelola.
Pengumuman itu sendiri tidak mengidentifikasi serangan baru terhadap jaringan Bitcoin. Pengumuman ini mengubah cara kategori tertentu dari masalah perangkat lunak akan ditangani. Pembaca karena itu harus membedakan proses keamanan yang direvisi dari bukti bahwa koin telah dicuri atau aturan konsensus telah gagal.
Signifikansinya lebih sempit dan lebih praktis: ketika penyerang dapat dengan murah menemukan kembali kelemahan tersebut, mempertahankan pengguna pada perangkat lunak yang belum diperbaiki menjadi lebih sulit dibenarkan. Tanggapan berpindah ke arah mempercepat penyebaran perbaikan, sekaligus membuat trade-off yang tersisa menjadi jelas.
Ditulis oleh Tim Berita dan diedit oleh Samuel Rae.