Bitcoin Core-Entwickler führen neue Offenlegungsrichtlinie für „kritische Fehler“ ein, um die Sicherheit zu erhöhen

Ein Team von Bitcoin Core-Entwicklern hat eine Offenlegungsrichtlinie für „kritische Fehler“ eingeführt, um die Kommunikation von Sicherheitslücken in Bitcoin zu verbessern.

A team of Bitcoin Core developers has introduced a “critical bug” disclosure policy to improve the communication of security vulnerabilities within Bitcoin.

Ein Team von Bitcoin Core-Entwicklern hat eine Offenlegungsrichtlinie für „kritische Fehler“ eingeführt, um die Kommunikation von Sicherheitslücken in Bitcoin zu verbessern.

In a message to the Bitcoin Development Mailing List on July 3, developer Antoine Poinsot and five others acknowledged that the project has historically failed in publicly disclosing security-critical bugs, leading users to mistakenly believe that Bitcoin Core is free of issues:

In einer Nachricht an die Bitcoin Development Mailing List vom 3. Juli gaben der Entwickler Antoine Poinsot und fünf andere zu, dass das Projekt in der Vergangenheit bei der öffentlichen Offenlegung sicherheitskritischer Fehler versagt hat, was dazu führte, dass Benutzer fälschlicherweise glaubten, Bitcoin Core sei frei von Problemen:

“The project has historically done a poor job at publicly disclosing security-critical bugs, whether externally reported or found by contributors.”

„Das Projekt hat in der Vergangenheit schlechte Arbeit bei der öffentlichen Offenlegung sicherheitskritischer Fehler geleistet, unabhängig davon, ob sie extern gemeldet oder von Mitwirkenden gefunden wurden.“

Bitcoin Core is the software that Bitcoin node operators use to access the Bitcoin blockchain, validate transactions, and build blocks, playing a crucial role in securing the over $1.1 trillion locked in the Bitcoin network.

Bitcoin Core ist die Software, die Bitcoin-Knotenbetreiber verwenden, um auf die Bitcoin-Blockchain zuzugreifen, Transaktionen zu validieren und Blöcke zu erstellen. Sie spielt eine entscheidende Rolle bei der Sicherung der über 1,1 Billionen US-Dollar, die im Bitcoin-Netzwerk gesperrt sind.

The new policy aims to enhance communication about the risks of using outdated versions of Bitcoin Core and to standardise the disclosure process, incentivizing researchers to find and responsibly disclose vulnerabilities. Poinsot believes that making security bugs available to a wider group of contributors can help prevent future issues.

Die neue Richtlinie zielt darauf ab, die Kommunikation über die Risiken der Verwendung veralteter Versionen von Bitcoin Core zu verbessern und den Offenlegungsprozess zu standardisieren, um Forschern einen Anreiz zu geben, Schwachstellen zu finden und verantwortungsbewusst offenzulegen. Poinsot glaubt, dass die Bereitstellung von Sicherheitslücken für eine breitere Gruppe von Mitwirkenden dazu beitragen kann, zukünftige Probleme zu verhindern.

The policy categorises vulnerabilities into four levels of severity. The first stage, ‘Low’, includes bugs that are hard to exploit and have low impact, such as those requiring access to the victim’s machine.

Die Richtlinie kategorisiert Schwachstellen in vier Schweregrade. Die erste Stufe, „Niedrig“, umfasst Fehler, die schwer auszunutzen sind und nur geringe Auswirkungen haben, beispielsweise solche, die Zugriff auf den Computer des Opfers erfordern.

The second one is ‘Medium’, which covers bugs with limited impact, such as a local network remote crash.

Die zweite Option ist „Mittel“, die Fehler mit begrenzten Auswirkungen abdeckt, wie z. B. einen Remote-Absturz im lokalen Netzwerk.

The last two categories include ‘high’ and ‘critical’, in which there are bugs having significant impact and bugs that threaten the entire network’s integrity, such as manipulating Bitcoin Core to inflate Bitcoin’s supply or committing coin theft, respectively.

Zu den letzten beiden Kategorien gehören „hoch“ und „kritisch“, wobei es Fehler gibt, die erhebliche Auswirkungen haben, und Fehler, die die Integrität des gesamten Netzwerks gefährden, wie z. B. die Manipulation von Bitcoin Core, um den Bitcoin-Vorrat zu erhöhen, bzw. die Begehung von Münzdiebstahl.

Low, medium, and high severity bugs will be disclosed two weeks after a fixed version is released, while critical bugs will be disclosed on a case-by-case basis. The policy will be gradually adopted over the coming months.

Fehler mit geringem, mittlerem und hohem Schweregrad werden zwei Wochen nach Veröffentlichung einer korrigierten Version bekannt gegeben, während kritische Fehler von Fall zu Fall bekannt gegeben werden. Die Richtlinie wird in den kommenden Monaten schrittweise übernommen.

Poinsot noted that all vulnerabilities fixed in Bitcoin Core versions 0.21.0 and earlier have been disclosed as of July 3, with disclosures for versions 0.22.0 and 0.23.0 to follow later this month and in August. The latest version, Bitcoin Core 27.1, has been adopted.

Poinsot wies darauf hin, dass alle in den Bitcoin Core-Versionen 0.21.0 und früher behobenen Schwachstellen am 3. Juli offengelegt wurden, wobei die Offenlegungen für die Versionen 0.22.0 und 0.23.0 später in diesem Monat und im August folgen werden. Die neueste Version, Bitcoin Core 27.1, wurde übernommen.

The new policy was praised by fellow developer Eric Voskuil: “Many other projects have been on the receiving end of this misperception, and it has in fact caused material harm to the community. I don’t know what precipitated this change, but props to you all for stepping up.”

Die neue Richtlinie wurde von Entwicklerkollege Eric Voskuil gelobt: „Viele andere Projekte waren Opfer dieser Fehleinschätzung, und sie hat der Community tatsächlich materiellen Schaden zugefügt.“ Ich weiß nicht, was diese Veränderung ausgelöst hat, aber ich danke Ihnen allen dafür, dass Sie sich engagiert haben.“