Les développeurs Bitcoin Core déploient une nouvelle politique de divulgation des « bogues critiques » pour améliorer la sécurité

Une équipe de développeurs Bitcoin Core a introduit une politique de divulgation des « bugs critiques » pour améliorer la communication des vulnérabilités de sécurité au sein de Bitcoin.

A team of Bitcoin Core developers has introduced a “critical bug” disclosure policy to improve the communication of security vulnerabilities within Bitcoin.

Une équipe de développeurs Bitcoin Core a introduit une politique de divulgation des « bugs critiques » pour améliorer la communication des vulnérabilités de sécurité au sein de Bitcoin.

In a message to the Bitcoin Development Mailing List on July 3, developer Antoine Poinsot and five others acknowledged that the project has historically failed in publicly disclosing security-critical bugs, leading users to mistakenly believe that Bitcoin Core is free of issues:

Dans un message adressé à la liste de diffusion Bitcoin Development le 3 juillet, le développeur Antoine Poinsot et cinq autres personnes ont reconnu que le projet avait historiquement échoué à divulguer publiquement les bogues critiques pour la sécurité, ce qui a amené les utilisateurs à croire à tort que Bitcoin Core ne présentait aucun problème :

“The project has historically done a poor job at publicly disclosing security-critical bugs, whether externally reported or found by contributors.”

« Historiquement, le projet a fait un mauvais travail en matière de divulgation publique des bogues critiques pour la sécurité, qu'ils soient signalés en externe ou découverts par des contributeurs. »

Bitcoin Core is the software that Bitcoin node operators use to access the Bitcoin blockchain, validate transactions, and build blocks, playing a crucial role in securing the over $1.1 trillion locked in the Bitcoin network.

Bitcoin Core est le logiciel que les opérateurs de nœuds Bitcoin utilisent pour accéder à la blockchain Bitcoin, valider les transactions et créer des blocs, jouant un rôle crucial dans la sécurisation des plus de 1,1 billion de dollars bloqués dans le réseau Bitcoin.

The new policy aims to enhance communication about the risks of using outdated versions of Bitcoin Core and to standardise the disclosure process, incentivizing researchers to find and responsibly disclose vulnerabilities. Poinsot believes that making security bugs available to a wider group of contributors can help prevent future issues.

La nouvelle politique vise à améliorer la communication sur les risques liés à l'utilisation de versions obsolètes de Bitcoin Core et à normaliser le processus de divulgation, incitant les chercheurs à rechercher et à divulguer de manière responsable les vulnérabilités. Poinsot estime que rendre les bogues de sécurité accessibles à un groupe plus large de contributeurs peut aider à prévenir de futurs problèmes.

The policy categorises vulnerabilities into four levels of severity. The first stage, ‘Low’, includes bugs that are hard to exploit and have low impact, such as those requiring access to the victim’s machine.

La politique classe les vulnérabilités en quatre niveaux de gravité. La première étape, « Faible », regroupe les bugs difficiles à exploiter et à faible impact, comme ceux nécessitant un accès à la machine de la victime.

The second one is ‘Medium’, which covers bugs with limited impact, such as a local network remote crash.

Le second est « Moyen », qui couvre les bogues ayant un impact limité, comme un crash à distance du réseau local.

The last two categories include ‘high’ and ‘critical’, in which there are bugs having significant impact and bugs that threaten the entire network’s integrity, such as manipulating Bitcoin Core to inflate Bitcoin’s supply or committing coin theft, respectively.

Les deux dernières catégories incluent « élevé » et « critique », dans lesquelles il existe des bogues ayant un impact significatif et des bogues qui menacent l'intégrité de l'ensemble du réseau, comme la manipulation de Bitcoin Core pour gonfler l'offre de Bitcoin ou le vol de pièces, respectivement.

Low, medium, and high severity bugs will be disclosed two weeks after a fixed version is released, while critical bugs will be disclosed on a case-by-case basis. The policy will be gradually adopted over the coming months.

Les bogues de gravité faible, moyenne et élevée seront divulgués deux semaines après la publication d'une version corrigée, tandis que les bogues critiques seront divulgués au cas par cas. Cette politique sera progressivement adoptée au cours des prochains mois.

Poinsot noted that all vulnerabilities fixed in Bitcoin Core versions 0.21.0 and earlier have been disclosed as of July 3, with disclosures for versions 0.22.0 and 0.23.0 to follow later this month and in August. The latest version, Bitcoin Core 27.1, has been adopted.

Poinsot a noté que toutes les vulnérabilités corrigées dans les versions 0.21.0 et antérieures de Bitcoin Core ont été divulguées le 3 juillet, et que les versions 0.22.0 et 0.23.0 suivront plus tard ce mois-ci et en août. La dernière version, Bitcoin Core 27.1, a été adoptée.

The new policy was praised by fellow developer Eric Voskuil: “Many other projects have been on the receiving end of this misperception, and it has in fact caused material harm to the community. I don’t know what precipitated this change, but props to you all for stepping up.”

La nouvelle politique a été saluée par son collègue développeur Eric Voskuil : « De nombreux autres projets ont été victimes de cette perception erronée, et cela a en fait causé un préjudice matériel à la communauté. Je ne sais pas ce qui a précipité ce changement, mais bravo à vous tous pour avoir intensifié vos efforts.