Bitcoin Core завершает годичный запрет на легко обнаруживаемые ошибки

Bitcoin Core завершает годичное ожидание исправлений безопасности, которые языковая модель может снова найти за один запрос. Изменение в политике раскрытия уязвимостей проекта, объединённое 22 октября, создаёт класс уязвимостей, «легко обнаруживаемых», и предписывает сопровождающим выпускать точечную версию и публичное уведомление «как можно скорее» — обходя стандартную эмбарго, в течение которой уязвимость средней или высокой степени серьёзности остаётся секретной примерно год.

Триггер прост. Сопровождающие получают все больше сообщений об ошибках, которые постоянно обнаруживаются заново, поскольку языковые модели снизили усилия, необходимые для их поиска. Антуан Пуансот, участник Bitcoin Core в Chaincode Labs, объявил об этом изменении в списке рассылки Bitcoin Development в тот же день, когда запрос на слияние был объединен.

«Недавно мы зафиксировали рост числа сообщений о уязвимостях безопасности, которые можно легко (повторно) обнаружить», — написал Пуансот. «Это в значительной степени связано с тем, что ИИ-модели значительно снижают барьер для выявления определенных классов проблем или обнаружения скрытых исправлений».

Предыдущая политика Bitcoin Core связывала срок раскрытия с уровнем серьезности. Уязвимости низкой серьезности публиковались через две недели после выхода следующего основного выпуска. Уязвимости средней и высокой серьезности оставались закрытыми до двух недель после окончания срока поддержки последнего затронутого выпуска — период, который сама политика описывает как «приблизительно год после первого выпуска основной версии, содержащей исправление».

Этот график существовал по причине. Bitcoin Core — это эталонная реализация, на которой работает большинство нод Bitcoin, и операторы нод обновляются медленно. Длительный запрет был введен, чтобы дать сети время на применение исправлений до публикации деталей. Компромисс заключался в том, что исправления, как правило, не переносились обратно, поэтому оператор, использующий более старую версию, должен был ждать следующей основной версии, которую проект стремится выпускать примерно каждые шесть месяцев.

Предостережение носит структурный, а не случайный характер. Изменения консенсуса, такие как апгрейд Taproot bitcoin, проходят через медленный и консервативный путь именно для того, чтобы операторы могли внедрять их в соответствии со своим графиком.

«Из-за природы нашего проекта и медленной культуры обновлений наша политика безопасности предпочитает более длительный период эмбарго», — написал Пуансот. «Это обычно означает, что исправления безопасности не могут быть перенесены обратно и становятся доступны для пользователей только вместе со следующим основным выпуском».

ИИ ломает этот компромисс. Если ошибку можно снова обнаружить с помощью простого сканирования с помощью ИИ, то её сокрытие ничего не даёт, поскольку уязвимость уже доступна каждому, кто имеет чат-бота. «Для этих проблем, которые легко найти, это неправильный компромисс. Срок эмбарго почти не приносит пользы, но задерживает доступность исправленной версии», — написал Пуансот.

В соответствии с пересмотренной политикой, таймер раскрытия теперь имеет третье положение. Уязвимость может быть помечена как «легко обнаруживаемая» на этапе классификации — это определяется как такая, «которую можно обнаружить с минимальными усилиями, например, с помощью простого запроса к ИИ». Эта метка не ограничивается только ошибками, найденными с помощью ИИ: она зависит от того, насколько мало усилий требуется для повторного обнаружения, а не от того, каким инструментом было найдено.

Для этих ошибок ответ изменяется по всем направлениям. Вместо того чтобы применить одно исправление в следующем крупном выпуске, сопровождающие будут переносить исправление на все текущие поддерживаемые крупные версии — три ветки в соответствии с правилом Bitcoin Core поддерживать последние три релиза — и выпускать точечные обновления как можно быстрее. Сопровождающее уведомление о безопасности публикуется вместе с исправленным программным обеспечением.

Лестница серьезности по-прежнему регулирует все остальное. Ошибки низкой серьезности остаются в двухнедельном графике. Ошибки средней и высокой серьезности остаются в примерно годовом цикле. Критические ошибки — те, которые могут украсть монеты на уровне протокола, увеличить предложение или навсегда расколоть цепь — остаются за пределами стандартной политики и обрабатываются индивидуально, как и раньше.

Это исключение существует по веской причине. В истории Bitcoin Core уязвимость с инфляционным багом, обнаруженная как CVE-2018-17144 в сентябре 2018 года, была именно тем типом ошибки, который оправдывал особый подход: она могла позволить создавать монеты вне установленного графика эмиссии. Новый путь «легко обнаруживаемых» уязвимостей не затрагивает этот уровень — критическая уязвимость по-прежнему будет получать ад-хок-реакцию, ориентированную на риск для всей сети.

Изменение легче всего воспринимается как сокращение в окне раскрытия информации. Ошибка средней степени тяжести, исправленная сегодня, обычно остается закрытой в течение примерно 52 недель и раскрывается только через две недели после того, как последний затронутый релиз достиг конца срока поддержки. Та же ошибка, если она легко обнаруживается, выпускается в виде точечного релиза «как можно скорее» вместе с уведомлением. Это разница между годом и, по собственному выражению разработчиков, тем временем, которое требуется для написания, проверки и тестирования целевого исправления.

Обязательство по обратной совместимости — это другая половина. До изменений исправление обычно не достигало пользователей на более старой поддерживаемой ветке; оно появлялось вместе с следующим основным выпуском. Теперь оператор на более старой поддерживаемой версии может применить целенаправленный точечный выпуск, не принимая все новые функции и изменения поведения в самой последней основной версии. Для сети, где обновления происходят медленно и осознанно, это существенное изменение в скорости, с которой исправление может быть фактически применено.

Более быстрый путь имеет свою цену, и Пуансон прямо об этом сказал в запросе на слияние. «Это особенно важно, поскольку при такой политике меры по устранению проблем будут иметь меньше времени на «выдержку» в ветках разработки перед выпуском пользователям», — написал он. Исправление, которое выпускается через дни, проводит меньше времени на проверке и тестировании, чем то, которое находилось в разработке месяцами.

Обсуждение также разделилось по вопросу о том, следует ли ускорить раскрытие информации. Некоторые участники утверждали, что открытие запроса на слияние исправления само по себе может предупредить злоумышленников, поскольку просто и дешево автоматически отслеживать репозиторий, поэтому раскрытие информации может потребоваться не позднее, чем при применении исправления, или даже раньше — с рекомендациями по смягчению последствий. Другой участник предложил выпускать исправления вместе с дискреционным или отложенным уведомлением. Пуансот отверг эту идею, написав, что оповещение пользователей без деталей может спровоцировать поспешную миграцию среди операторов, которые никогда не подвергались угрозе.

Биржа имеет значение, потому что показывает, что новая политика — это сознательный средний путь, а не очевидный. Объединённый текст сохраняет рекомендацию одновременно с исправлением и полные детали, а не расплывчатое предупреждение.

В новый класс пока не добавлено никаких уязвимостей, поэтому это изменение процесса, а не раскрытие активной ошибки. Первый настоящий тест наступит, когда сопровождающие отметят что-то как «легко обнаруживаемое» во время классификации и выпустят точечные обновления для всех поддерживаемых веток с одновременным уведомлением.

Более широкий сигнал заключается в том, что поиск ошибок с помощью ИИ уже заставил экосистему Bitcoin измениться. Core Lightning ранее в этом году сообщил операторам нод, что необходимо обновиться или отключиться, после того как выявленные с помощью ИИ уязвимости подтвердились. Изменение политики Bitcoin Core — это эталонная реализация, выполняющая тот же расчет на базовом уровне протокола: когда повторное открытие стоит недорого, секретность приносит мало выгоды, а длительная эмбарго задерживает только фиксированный релиз.

Для операторов нод сегодня ничего не меняется. Частота обновлений остается прежней. Разница проявится в следующий раз, когда ошибка будет признана легко обнаруживаемой, и патч вместе с уведомлением о нем будет выпущен с меньшим предупреждением, чем когда-либо прежде.