Bitcoin Core-Entwickler führen neue Richtlinie zur Offenlegung von Sicherheitslücken ein

Das Projekt hat in der Vergangenheit schlechte Arbeit bei der öffentlichen Offenlegung sicherheitskritischer Fehler geleistet, unabhängig davon, ob sie extern gemeldet oder von Mitwirkenden gefunden wurden.

Bitcoin Core Developers Roll Out New Security Vulnerability Disclosure Policy

Bitcoin Core-Entwickler führen neue Richtlinie zur Offenlegung von Sicherheitslücken ein

A group of Bitcoin core developers have rolled out a new policy to disclose security vulnerabilities on the Bitcoin blockchain.

Eine Gruppe von Bitcoin-Kernentwicklern hat eine neue Richtlinie zur Offenlegung von Sicherheitslücken in der Bitcoin-Blockchain eingeführt.

“The project has historically done a poor job at publicly disclosing security-critical bugs, whether externally reported or found by contributors,” said developer Antoine Poinsot in an email sent to the Bitcoin developer mailing list.

„Das Projekt hat in der Vergangenheit schlechte Arbeit bei der öffentlichen Offenlegung sicherheitskritischer Fehler geleistet, unabhängig davon, ob sie extern gemeldet oder von Mitwirkenden gefunden wurden“, sagte Entwickler Antoine Poinsot in einer E-Mail an die Bitcoin-Entwickler-Mailingliste.

“This has led to a situation where a lot of users perceive Bitcoin Core as never having bugs. This perception is dangerous and, unfortunately, not accurate.”

„Dies hat dazu geführt, dass viele Benutzer den Eindruck haben, Bitcoin Core hätte nie Fehler. Diese Wahrnehmung ist gefährlich und leider nicht zutreffend.“

The new disclosure policy would classify disclosed vulnerabilities into one of four categories based on severity: low, medium, high and critical.

Die neue Offenlegungsrichtlinie würde offengelegte Schwachstellen je nach Schweregrad in eine von vier Kategorien einteilen: niedrig, mittel, hoch und kritisch.

Low severity bugs would be disclosed within two weeks after a fixed version is released, while medium and high severity bugs would be disclosed two weeks after the last affected software release reaches its end of life.

Fehler mit geringem Schweregrad würden innerhalb von zwei Wochen nach der Veröffentlichung einer korrigierten Version offengelegt, während Fehler mit mittlerem und hohem Schweregrad zwei Wochen nach Erreichen des Lebensendes der letzten betroffenen Softwareversion offengelegt würden.

Critical bugs, on the other hand, would not be considered in the standard policy and would require an ad-hoc procedure regarding its disclosure. The developers would consider any bug that threatens the entire network’s integrity to fall in this bracket.

Kritische Fehler hingegen würden in der Standardrichtlinie nicht berücksichtigt und würden ein Ad-hoc-Verfahren zur Offenlegung erfordern. Die Entwickler würden jeden Fehler, der die Integrität des gesamten Netzwerks gefährdet, in diese Kategorie einordnen.

The new policy is expected to be gradually rolled out in the coming months, but in the spirit of following through with the promise of appropriate disclosures, a page has been added to the official Bitcoin core website summarizing the vulnerabilities that impacted the network.

Es wird erwartet, dass die neue Richtlinie in den kommenden Monaten schrittweise eingeführt wird. Um jedoch das Versprechen angemessener Offenlegungen einzuhalten, wurde der offiziellen Bitcoin-Core-Website eine Seite hinzugefügt, auf der die Schwachstellen zusammengefasst sind, die sich auf das Netzwerk ausgewirkt haben.

The document details 12 disclosures that impacted the Bitcoin network before the version 0.21.0 of its software was released.

Das Dokument beschreibt zwölf Offenlegungen, die sich auf das Bitcoin-Netzwerk auswirkten, bevor die Version 0.21.0 seiner Software veröffentlicht wurde.

One of these bugs was a malicious BIP-72 Uniform Resource Identifier (URI), which is used to facilitate payments and interact with wallet addresses, that could cause the BIP-70 implementation in Bitcoin core to silently crash.

Einer dieser Fehler war ein bösartiger BIP-72 Uniform Resource Identifier (URI), der zur Erleichterung von Zahlungen und zur Interaktion mit Wallet-Adressen verwendet wird und dazu führen konnte, dass die BIP-70-Implementierung im Bitcoin-Kern stillschweigend abstürzt.

Other disclosures included an integer overflow bug that could have caused a network split, a node that could be stalled for hours, and a denial of service (DoS) vulnerability that affected older versions of Bitcoin core.

Zu den weiteren Offenlegungen gehörten ein Integer-Overflow-Bug, der zu einer Netzwerkspaltung hätte führen können, ein Knoten, der stundenlang angehalten werden konnte, und eine Denial-of-Service (DoS)-Schwachstelle, die ältere Versionen des Bitcoin-Kerns betraf.

“I have to say this is one of the most compelling statements I’ve seen from the bitcoin/Bitcoin Core team in over 10 years,” said Bitcoin developer Eric Voskuil.

„Ich muss sagen, das ist eine der überzeugendsten Aussagen, die ich seit über 10 Jahren vom Bitcoin/Bitcoin Core-Team gesehen habe“, sagte Bitcoin-Entwickler Eric Voskuil.

“Many other projects have been on the receiving end of this misperception, and it has in fact caused material harm to the community. I don’t know what precipitated this change, but props to you all for stepping up.”

„Viele andere Projekte waren Opfer dieser Fehleinschätzung, und sie hat der Gemeinschaft tatsächlich materiellen Schaden zugefügt. Ich weiß nicht, was diese Veränderung ausgelöst hat, aber ich danke Ihnen allen dafür, dass Sie sich engagiert haben.“