Bitcoin Core schrapt lange geheimhouding van beveiligingslekken

In dit artikel:

Bitcoin Core heeft op 22 oktober zijn beveiligingsbeleid aangepast. Ontwikkelaars mogen kwetsbaarheden die eenvoudig opnieuw te vinden zijn voortaan direct terugbrengen naar alle ondersteunde versielijnen, samen met een openbare beveiligingsmelding. Volgens Bitcoin Core-ontwikkelaar Antoine Poinsot maken grote taalmodellen het huidige embargo-systeem minder effectief: kwetsbaarheden kunnen opnieuw worden ontdekt voordat de geheimhoudingsperiode afloopt. Wel krijgen patches daardoor minder tijd om in ontwikkelversies te worden getest.

De wijziging komt op een moment dat veel nodes verouderde software draaien. Een meting van het Karlsruhe Institute of Technology telde op 18 oktober 8.422 publiek meetbare Bitcoin Core-peers. Daarvan gebruikten 3.671 nodes, oftewel 43,6 procent, een versie die geen beveiligingsupdates meer krijgt. Alleen de drie nieuwste hoofdlijnen worden ondersteund: 29.x, 30.x en 31.x. De meting sloot onder meer Tor-nodes zonder open poort en private infrastructuur van exchanges en miners uit.

De situatie kan verslechteren zodra versie 32.0 verschijnt. Dan valt 29.x buiten de ondersteuning en zou bij een gelijkblijvende steekproef 51,1 procent van de gemeten peers verouderde software gebruiken. Dat is geen voorspelling, omdat beheerders nog kunnen upgraden; op 24 oktober was de releasedatum bovendien nog niet vastgesteld.

Voor multisig-gebruikers brengt versie 32.0 daarnaast een wijziging in het standaardformaat van partieel ondertekende transacties met zich mee. Daardoor konden nieuwe walletbestanden niet altijd worden geïmporteerd door oudere medeondertekenaars. De oplossing is uitgesteld tot versie 32.1, terwijl RPC-gebruikers het oude formaat voorlopig nog kunnen opvragen.