Les développeurs Bitcoin Core déploient une nouvelle politique pour divulguer les vulnérabilités de sécurité

Le projet a toujours fait un mauvais travail en matière de divulgation publique des bogues critiques pour la sécurité, qu'ils soient signalés en externe ou trouvés par des contributeurs.

Bitcoin Core Developers Roll Out New Security Vulnerability Disclosure Policy

Les développeurs principaux de Bitcoin déploient une nouvelle politique de divulgation des vulnérabilités de sécurité

A group of Bitcoin core developers have rolled out a new policy to disclose security vulnerabilities on the Bitcoin blockchain.

Un groupe de développeurs principaux de Bitcoin a déployé une nouvelle politique visant à divulguer les vulnérabilités de sécurité sur la blockchain Bitcoin.

“The project has historically done a poor job at publicly disclosing security-critical bugs, whether externally reported or found by contributors,” said developer Antoine Poinsot in an email sent to the Bitcoin developer mailing list.

"Le projet a toujours fait un mauvais travail en divulguant publiquement les bogues critiques pour la sécurité, qu'ils soient signalés en externe ou trouvés par des contributeurs", a déclaré le développeur Antoine Poinsot dans un e-mail envoyé à la liste de diffusion des développeurs Bitcoin.

“This has led to a situation where a lot of users perceive Bitcoin Core as never having bugs. This perception is dangerous and, unfortunately, not accurate.”

«Cela a conduit à une situation dans laquelle de nombreux utilisateurs perçoivent Bitcoin Core comme n'ayant jamais de bugs. Cette perception est dangereuse et, malheureusement, inexacte.

The new disclosure policy would classify disclosed vulnerabilities into one of four categories based on severity: low, medium, high and critical.

La nouvelle politique de divulgation classerait les vulnérabilités divulguées dans l'une des quatre catégories en fonction de leur gravité : faible, moyenne, élevée et critique.

Low severity bugs would be disclosed within two weeks after a fixed version is released, while medium and high severity bugs would be disclosed two weeks after the last affected software release reaches its end of life.

Les bogues de faible gravité seraient divulgués dans les deux semaines suivant la publication d'une version corrigée, tandis que les bogues de gravité moyenne et élevée seraient divulgués deux semaines après la fin de vie de la dernière version logicielle concernée.

Critical bugs, on the other hand, would not be considered in the standard policy and would require an ad-hoc procedure regarding its disclosure. The developers would consider any bug that threatens the entire network’s integrity to fall in this bracket.

Les bogues critiques, en revanche, ne seraient pas pris en compte dans la politique standard et nécessiteraient une procédure ad hoc concernant leur divulgation. Les développeurs considèrent que tout bug menaçant l’intégrité de l’ensemble du réseau entre dans cette catégorie.

The new policy is expected to be gradually rolled out in the coming months, but in the spirit of following through with the promise of appropriate disclosures, a page has been added to the official Bitcoin core website summarizing the vulnerabilities that impacted the network.

La nouvelle politique devrait être progressivement déployée dans les mois à venir, mais dans l'esprit de donner suite à la promesse de divulgations appropriées, une page a été ajoutée au site Web officiel de Bitcoin résumant les vulnérabilités qui ont affecté le réseau.

The document details 12 disclosures that impacted the Bitcoin network before the version 0.21.0 of its software was released.

Le document détaille 12 divulgations qui ont impacté le réseau Bitcoin avant la sortie de la version 0.21.0 de son logiciel.

One of these bugs was a malicious BIP-72 Uniform Resource Identifier (URI), which is used to facilitate payments and interact with wallet addresses, that could cause the BIP-70 implementation in Bitcoin core to silently crash.

L'un de ces bogues était un identificateur de ressource uniforme (URI) BIP-72 malveillant, utilisé pour faciliter les paiements et interagir avec les adresses de portefeuille, ce qui pourrait provoquer le crash silencieux de l'implémentation du BIP-70 dans le noyau Bitcoin.

Other disclosures included an integer overflow bug that could have caused a network split, a node that could be stalled for hours, and a denial of service (DoS) vulnerability that affected older versions of Bitcoin core.

D'autres divulgations incluaient un bug de dépassement d'entier qui aurait pu provoquer une division du réseau, un nœud qui pourrait être bloqué pendant des heures et une vulnérabilité de déni de service (DoS) qui affectait les anciennes versions du noyau Bitcoin.

“I have to say this is one of the most compelling statements I’ve seen from the bitcoin/Bitcoin Core team in over 10 years,” said Bitcoin developer Eric Voskuil.

"Je dois dire que c'est l'une des déclarations les plus convaincantes que j'ai vues de la part de l'équipe Bitcoin/Bitcoin Core depuis plus de 10 ans", a déclaré Eric Voskuil, développeur de Bitcoin.

“Many other projects have been on the receiving end of this misperception, and it has in fact caused material harm to the community. I don’t know what precipitated this change, but props to you all for stepping up.”

« De nombreux autres projets ont été victimes de cette perception erronée, et cela a en fait causé un préjudice matériel à la communauté. Je ne sais pas ce qui a précipité ce changement, mais bravo à vous tous pour avoir intensifié vos efforts.