Bitcoin Core מוותרת על החיסיון לפרצות שבינה מלאכותית מוצאת בפרומפט פשוט
מפתחי Bitcoin Core יתקנו בהקדם האפשרי פרצות שקל לגלות בעזרת מודלי שפה, ויפרסמו את הפרטים יחד עם העדכון. לדבריהם, החיסיון רק מעכב את הגרסה המתוקנת.
Bitcoin Core, תוכנת הצומת המרכזית של רשת ביטקוין, משנה את הדרך שבה היא מטפלת בפרצות אבטחה. לדברי המפתחים, מודלי שפה גדולים (LLM, המנועים שמפעילים את הצ'טבוטים של הבינה המלאכותית) הפכו חלק מהבאגים לקלים כל כך לאיתור, שהסתרתם כבר כמעט לא מגינה על המשתמשים.
את ההודעה פרסם ביום חמישי מפתח Bitcoin Core אנטואן פואנסו (Antoine Poinsot), במייל לרשימת התפוצה של מפתחי ביטקוין. "תקופת האמברגו משיגה מעט, אבל היא מעכבת את הזמינות של גרסה מתוקנת", כתב פואנסו. "לכן אנחנו מעדכנים את מדיניות החשיפה כדי להתאים אותה למקרים האלה".
איך עבד החיסיון עד עכשיו
אמברגו, בשפת אבטחת המידע, הוא תקופה שבה המפתחים יודעים על פרצה ומתקנים אותה, אבל לא מפרסמים את פרטיה. ב-Bitcoin Core נהגו לשמור על אמברגו ארוך, כדי לתת למשתמשים זמן לעדכן לפני שהפרטים הופכים לפומביים.
לשיטה הזאת היה מחיר. לפי פואנסו, שמירה על החיסיון פירושה בדרך כלל שאי אפשר היה להחזיר את התיקון לגרסאות ישנות יותר של התוכנה (backport). מי שהריץ גרסה ישנה נאלץ לחכות לגרסה הראשית הבאה.
מודלי השפה שינו את החישוב. פואנסו כתב שפרצות מסוימות קלות כל כך לגילוי מחדש, שעיכוב התיקון כמעט לא מגן על אף אחד. אם כל אחד יכול להגיע לאותה חולשה בעזרת צ'טבוט, הסוד שהמפתחים שומרים כבר אינו סוד של ממש, והמחיר של העיכוב נשאר.
ארבע קטגוריות ולוח זמנים לכל אחת
המדיניות החדשה יוצרת קטגוריה של פרצות "קלות לגילוי", ומגדירה אותן כחולשות שאפשר למצוא במאמץ מינימלי, "כמו באמצעות פרומפט פשוט ל-LLM". שאר הפרצות ממשיכות לפי לוחות זמנים שנקבעים לפי חומרה, מבאגים בעלי השפעה מוגבלת על צמתים בודדים ועד פגמים שמאיימים על הביטחון הבסיסי של ביטקוין.
| סוג הפרצה | מתי מגיע התיקון | מתי מתפרסמים הפרטים |
|---|---|---|
| קלה לגילוי | בהקדם האפשרי, בכל הגרסאות הראשיות הנתמכות | יחד עם העדכון |
| חומרה נמוכה | בגרסה ראשית חדשה | שבועיים אחרי שחרור הגרסה המתקנת |
| חומרה בינונית או גבוהה | בגרסה ראשית חדשה | שבועיים אחרי סוף החיים (End of Life) של הגרסה הפגיעה האחרונה |
| קריטית | נוהל ייעודי | מחוץ למדיניות הרגילה |
כדי להבין את הפער בין הקטגוריות, קחו פרצה בחומרה בינונית. התיקון נכנס לגרסה ראשית חדשה, והפרטים ממתינים עד שהגרסה הפגיעה האחרונה מגיעה לסוף חייה. לפי Bitcoin Core זה קורה בדרך כלל כשנה אחרי שחרור התיקון, כך שעם השבועיים הנוספים מדובר בכ-54 שבועות של חיסיון. בפרצה שסווגה כקלה לגילוי המרווח הזה נעלם. העדכון והודעת האבטחה יוצאים יחד, וגם משתמשי גרסאות ראשיות ישנות יותר שעדיין נתמכות מקבלים תיקון.
באגים קריטיים, לפי ההודעה, "אינם נכללים במדיניות הסטנדרטית, משום שסביר שיחייבו נוהל אד הוק".
כמעט 5,000 דיווחים ב-390 פרויקטים
השינוי מגיע בזמן שמחקר אבטחה בעזרת בינה מלאכותית מפעיל לחץ על מפתחים בכל מערכת התוכנה של ביטקוין. באוגוסט דיווח ה-Bitcoin Red Team, קבוצת מתנדבים, על כמעט 5,000 בעיות פוטנציאליות ב-390 פרויקטים. מדובר בממוצע של כ-13 ממצאים לפרויקט, אבל רק כחמישית מהם, בסביבות 1,000, שוחזרו עד אותה נקודה.
הפער בין כמות הממצאים לכמות שאומתה מראה כמה עבודה נדרשת רק כדי לסנן אותם. במקביל, אם מתנדבים מצליחים לייצר אלפי חשדות, סביר להניח שגם תוקפים יכולים. המדיניות החדשה משאירה למתחזקים את ההחלטה איזו פרצה נחשבת קלה לגילוי, ועדיין לא ברור איך הסיווג הזה ייושם בפועל.
באותו חודש קראו מפתחי Core Lightning, מימוש של רשת הלייטנינג לתשלומים מהירים מעל ביטקוין, למפעילים לעדכן או לנתק את הצמתים שלהם מהרשת, אחרי שקיבלו כמה דיווחי פרצות שנוצרו בבינה מלאכותית. גם הם עיכבו את הפרטים הטכניים בשבועיים.
לוק דה וולף, מגיש ה-Bitcoin Infinity Show ומחבר הספר Defending Bitcoin, בירך על המהלך למרות מחלוקות קודמות. "לא הסכמתי בעבר עם הגישה של אנטואן לאבטחה, אבל זה עדכון טוב", אמר.
מי שמריץ צומת ביטקוין בבית צריך לקצר את זמן העדכון
אם אתם מחזיקים ביטקוין דרך קרן מחקה ישראלית, כמו אלה שנסחרות כאן מאז 31 בדצמבר 2024, או דרך קרן סל אמריקאית בחשבון ברוקר, השינוי לא דורש מכם פעולה. את התשתית מנהלים הגופים שמחזיקים את המטבעות עבורכם.
התמונה שונה אם אתם מנהלים את המטבעות בעצמכם ומריצים צומת Bitcoin Core, למשל כדי לאמת עסקאות בלי להסתמך על שרת של מישהו אחר. במדיניות החדשה, בפרצות שסווגו כקלות לגילוי, הודעת האבטחה מתפרסמת יחד עם העדכון. כל יום שבו הצומת שלכם נשאר על הגרסה הישנה הוא יום שבו הפרטים כבר פומביים. כדאי להירשם להודעות האבטחה של הפרויקט ולעדכן מיד, גם אם אתם על גרסה ראשית ישנה יותר, כל עוד היא עדיין נתמכת ואמורה לקבל את התיקון.
המדיניות עוסקת בתוכנת הצומת, ואינה משנה את הדרך שבה שמורים המפתחות שלכם בארנק קר. אם הארנק מחובר לצומת שלכם, עדכון הצומת הוא חלק מהאבטחה שלו. שאר השכבות, מגיבוי מילות השחזור ועד הפרדה בין ארנק לשימוש יומי לחיסכון, מפורטות במדריך לשמירת ביטקוין בבטחה. מי שמשתמש באפליקציות או בתוכנות ארנק אחרות צריך לבדוק את מדיניות העדכונים שלהן בנפרד, כי ההחלטה של Bitcoin Core חלה רק עליה.
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
