Пока никто не запаниковал из-за новостей о Bitcoin Core: здесь ни у кого не украли монеты, и именно поэтому, на мой взгляд, эта история всё равно важна.
Вчера CoinDesk и KuCoin сообщили, что 28 октября Bitcoin Core раскрыл сведения о трёх уязвимостях. Их обнаружили с помощью сканирования Project Loupe при участии ИИ, а перед публикацией проверили разработчики-люди. Две уязвимости получили средний уровень серьёзности, одна — низкий. Исправления уже выпущены в версиях 29.5, 30.4, 31.2 и 32.1. Самая серьёзная из трёх позволяла злоумышленнику завалить сетевыми данными узел под управлением Windows, macOS или BSD, пока у того не заканчивалась память и он не падал. Узлы на Linux от этой уязвимости не страдали. Вторая уязвимость так же постепенно расходует память — до 2 МБ в час на каждого входящего пира и 5 МБ на каждого исходящего. Третья связана с переполнением файла отмены операций, но её практически невозможно использовать на современных 64-разрядных компьютерах.
Так что нет, это не момент, когда выясняется, что Bitcoin сломан. Это проблема доступности узлов: упавший узел перестаёт проверять и ретранслировать транзакции, пока его кто-нибудь не перезапустит. Но я сейчас думаю о другом — о самом раскрытии уязвимостей. До прошлой недели Core мог скрывать баги средней серьёзности до года, чтобы операторы успели обновиться без лишнего шума. 22 октября это правило изменили для багов, которые ИИ может легко обнаружить: если сканер может найти их без особых затрат, то и злоумышленник тоже. По-моему, это правильное решение: секретность работает, только пока уязвимость трудно найти, а эта эпоха подходит к концу.
Теперь я слежу за самой скучной частью — той, от которой на деле зависит, насколько всё это важно: как быстро обновятся биржи, кошельки и операторы узлов и раскроют ли через две недели, как ожидается, сведения о трёх других уязвимостях средней и высокой степени серьёзности, которые уже исправлены в версии 30. Если с обновлениями будут тянуть, настоящий риск возникнет в промежутке между публичным раскрытием и установкой исправлений.
Вы запускаете узел или просто доверяете бирже и кошельку — в расчёте на то, что они своевременно обновляются? $BTC
Вчера CoinDesk и KuCoin сообщили, что 28 октября Bitcoin Core раскрыл сведения о трёх уязвимостях. Их обнаружили с помощью сканирования Project Loupe при участии ИИ, а перед публикацией проверили разработчики-люди. Две уязвимости получили средний уровень серьёзности, одна — низкий. Исправления уже выпущены в версиях 29.5, 30.4, 31.2 и 32.1. Самая серьёзная из трёх позволяла злоумышленнику завалить сетевыми данными узел под управлением Windows, macOS или BSD, пока у того не заканчивалась память и он не падал. Узлы на Linux от этой уязвимости не страдали. Вторая уязвимость так же постепенно расходует память — до 2 МБ в час на каждого входящего пира и 5 МБ на каждого исходящего. Третья связана с переполнением файла отмены операций, но её практически невозможно использовать на современных 64-разрядных компьютерах.
Так что нет, это не момент, когда выясняется, что Bitcoin сломан. Это проблема доступности узлов: упавший узел перестаёт проверять и ретранслировать транзакции, пока его кто-нибудь не перезапустит. Но я сейчас думаю о другом — о самом раскрытии уязвимостей. До прошлой недели Core мог скрывать баги средней серьёзности до года, чтобы операторы успели обновиться без лишнего шума. 22 октября это правило изменили для багов, которые ИИ может легко обнаружить: если сканер может найти их без особых затрат, то и злоумышленник тоже. По-моему, это правильное решение: секретность работает, только пока уязвимость трудно найти, а эта эпоха подходит к концу.
Теперь я слежу за самой скучной частью — той, от которой на деле зависит, насколько всё это важно: как быстро обновятся биржи, кошельки и операторы узлов и раскроют ли через две недели, как ожидается, сведения о трёх других уязвимостях средней и высокой степени серьёзности, которые уже исправлены в версии 30. Если с обновлениями будут тянуть, настоящий риск возникнет в промежутке между публичным раскрытием и установкой исправлений.
Вы запускаете узел или просто доверяете бирже и кошельку — в расчёте на то, что они своевременно обновляются? $BTC
