TL;DR: Bitcoin Core đã áp dụng các bản vá nhanh hơn và tiết lộ có trách nhiệm cho các lỗ hổng dễ dàng được phát hiện lại, bao gồm cả bằng AI. Các thời gian ngừng tiết lộ kéo dài vẫn được duy trì cho các lỗ hổng bảo mật khác.
Bitcoin Core đang thay đổi lịch trình xử lý các lỗ hổng bảo mật mà kẻ tấn công có thể phát hiện với nỗ lực tối thiểu. Câu hỏi thực tế là liệu việc chờ đợi để công bố lỗi vẫn có bảo vệ người dùng khi phần mềm có thể phát hiện lại nó gần như ngay lập tức.
Một cập nhật chính sách được hợp nhất vào ngày 22 tháng Mười tạo ra con đường nhanh hơn cho các trường hợp này. Nhà phát triển Antoine Poinsot cho rằng các mô hình ngôn ngữ lớn đã giúp một số vấn đề trở nên dễ phát hiện hơn, bao gồm cả việc xác định các bản sửa lỗi vốn được thiết kế để thu hút ít sự chú ý.
Điều đó tạo ra một sự lựa chọn khó khăn cho những người duy trì phần mềm Bitcoin: việc giấu thông tin có thể mua thêm thời gian để nâng cấp, nhưng việc trì hoãn bản vá có thể sử dụng cũng có thể khiến các nhà vận hành bị phơi bày.
Các bản phát hành nhanh hơn để phát hiện dễ dàng các lỗ hổng đã biết
Chính sách tiết lộ đã được cập nhật cho phép các nhà phát triển phân loại lỗ hổng được báo cáo là dễ dàng phát hiện. Một ví dụ đơn giản là lời nhắc AI; danh mục này cũng bao gồm các vấn đề được tìm thấy với nỗ lực tối thiểu thông qua các phương tiện khác.
Đối với các lỗ hổng này, các nhà duy trì dự định phát hành bản sửa lỗi cho từng phiên bản chính được hỗ trợ càng sớm càng tốt, đi kèm với thông báo bảo mật. Những trường hợp này bỏ qua thời gian cấm công bố thông thường liên quan đến mức độ nghiêm trọng.
Sự khác biệt này quan trọng đối với một sàn giao dịch hoặc doanh nghiệp thanh toán đang chạy nút mạng của riêng mình. Bản phát hành điểm có thể cung cấp bản sửa lỗi nhắm mục tiêu mà không cần chờ phiên bản phần mềm lớn tiếp theo. Lời khuyên cũng giúp người vận hành đánh giá xem cấu hình cụ thể của họ có bị ảnh hưởng hay không.
Các quy tắc tiết lộ khác vẫn được giữ nguyên. Các vấn đề mức độ thấp thường được công khai hai tuần sau khi phát hành chính chứa bản sửa lỗi. Các vấn đề mức độ trung bình và cao thường chờ đến hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng kết thúc thời gian hỗ trợ. Các lỗ hổng nghiêm trọng vẫn cần được xử lý riêng lẻ.
Ít bí mật cũng đồng nghĩa với ít thời gian kiểm thử hơn
Cuộc thảo luận đi kèm với thay đổi cho thấy tốc độ có chi phí. Poinsot lưu ý rằng các biện pháp khắc phục được tăng tốc sẽ dành ít thời gian hơn trong các nhánh phát triển trước khi đến tay người dùng. Do đó, các nhà phát triển phải cân nhắc rủi ro của việc phơi bày một lỗ hổng với rủi ro của việc giới thiệu một bản sửa lỗi không chính xác.
Đối với các doanh nghiệp cung cấp custody, bài học vận hành là sự sẵn sàng vá lỗi cần được đặt ngang hàng với các biện pháp bảo mật chính. Việc duy trì danh mục cập nhật các phiên bản phần mềm, hiểu rõ các dịch vụ nào phụ thuộc vào chúng và có quy trình nâng cấp được kiểm soát có thể giúp quản lý dễ dàng hơn các khoảng thời gian thông báo ngắn.
Bản thông báo không xác định một cuộc tấn công mới vào mạng bitcoin. Nó thay đổi cách một danh mục xác định các vấn đề phần mềm sẽ được xử lý. Do đó, người đọc nên phân biệt giữa quy trình bảo mật được cập nhật với bằng chứng cho thấy các đồng bitcoin đã bị đánh cắp hoặc các quy tắc đồng thuận đã thất bại.
Ý nghĩa của nó hẹp hơn và thực tế hơn: khi các kẻ tấn công có thể dễ dàng phát hiện lại điểm yếu, việc giữ người dùng trên phần mềm chưa được sửa trở nên khó biện minh hơn. Phản ứng chuyển sang việc nhanh chóng cung cấp bản sửa lỗi cho họ, đồng thời làm rõ các trade-off còn lại.
Được viết bởi Ban Biên tập Tin tức và hiệu đính bởi Samuel Rae.