ビットコインコア開発者、セキュリティ強化のため新たな「重大なバグ」開示ポリシーを展開

ビットコインコア開発者のチームは、ビットコイン内のセキュリティ脆弱性の伝達を改善するために「重大なバグ」開示ポリシーを導入しました。

A team of Bitcoin Core developers has introduced a “critical bug” disclosure policy to improve the communication of security vulnerabilities within Bitcoin.

ビットコインコア開発者のチームは、ビットコイン内のセキュリティ脆弱性の伝達を改善するために「重大なバグ」開示ポリシーを導入しました。

In a message to the Bitcoin Development Mailing List on July 3, developer Antoine Poinsot and five others acknowledged that the project has historically failed in publicly disclosing security-critical bugs, leading users to mistakenly believe that Bitcoin Core is free of issues:

開発者のアントワーヌ・ポアンソ氏と他の5人は、7月3日のビットコイン開発メーリングリストへのメッセージの中で、このプロジェクトが歴史的にセキュリティクリティカルなバグを公に公開することに失敗しており、ビットコインコアには問題がないとユーザーが誤って信じていることを認めた。

“The project has historically done a poor job at publicly disclosing security-critical bugs, whether externally reported or found by contributors.”

「このプロジェクトは歴史的に、外部から報告されたか、貢献者によって発見されたかにかかわらず、セキュリティクリティカルなバグを公に公開するという点でうまくいっていませんでした。」

Bitcoin Core is the software that Bitcoin node operators use to access the Bitcoin blockchain, validate transactions, and build blocks, playing a crucial role in securing the over $1.1 trillion locked in the Bitcoin network.

Bitcoin Core は、ビットコイン ノード オペレーターがビットコイン ブロックチェーンにアクセスし、トランザクションを検証し、ブロックを構築するために使用するソフトウェアであり、ビットコイン ネットワークにロックされている 1 兆 1,000 億ドル以上を保護する上で重要な役割を果たしています。

The new policy aims to enhance communication about the risks of using outdated versions of Bitcoin Core and to standardise the disclosure process, incentivizing researchers to find and responsibly disclose vulnerabilities. Poinsot believes that making security bugs available to a wider group of contributors can help prevent future issues.

新しいポリシーは、ビットコインコアの古いバージョンを使用するリスクについてのコミュニケーションを強化し、開示プロセスを標準化し、研究者が脆弱性を見つけて責任を持って開示するよう奨励することを目的としています。ポインソ氏は、セキュリティ バグをより広範なグループの寄稿者が利用できるようにすることで、将来の問題を防ぐことができると考えています。

The policy categorises vulnerabilities into four levels of severity. The first stage, ‘Low’, includes bugs that are hard to exploit and have low impact, such as those requiring access to the victim’s machine.

このポリシーでは、脆弱性を 4 つの重大度レベルに分類しています。最初の段階である「低」には、被害者のマシンへのアクセスを必要とするバグなど、悪用が難しく影響が少ないバグが含まれます。

The second one is ‘Medium’, which covers bugs with limited impact, such as a local network remote crash.

2 つ目は「中」で、ローカル ネットワークのリモート クラッシュなど、影響が限定的なバグをカバーします。

The last two categories include ‘high’ and ‘critical’, in which there are bugs having significant impact and bugs that threaten the entire network’s integrity, such as manipulating Bitcoin Core to inflate Bitcoin’s supply or committing coin theft, respectively.

最後の 2 つのカテゴリには「高」と「重大」が含まれており、それぞれ重大な影響を与えるバグとネットワーク全体の完全性を脅かすバグ (ビットコイン コアを操作してビットコインの供給量を増やす、またはコイン盗難を犯すなど) が存在します。

Low, medium, and high severity bugs will be disclosed two weeks after a fixed version is released, while critical bugs will be disclosed on a case-by-case basis. The policy will be gradually adopted over the coming months.

低、中、高の重大度のバグは修正バージョンがリリースされてから 2 週間後に公開されますが、重大なバグはケースバイケースで公開されます。この政策は今後数カ月かけて段階的に導入される予定だ。

Poinsot noted that all vulnerabilities fixed in Bitcoin Core versions 0.21.0 and earlier have been disclosed as of July 3, with disclosures for versions 0.22.0 and 0.23.0 to follow later this month and in August. The latest version, Bitcoin Core 27.1, has been adopted.

ポアンソ氏は、ビットコインコアのバージョン0.21.0以前で修正されたすべての脆弱性は7月3日時点で公開されており、バージョン0.22.0と0.23.0の公開は今月下旬と8月に続くと指摘した。最新バージョンのBitcoin Core 27.1を採用。

The new policy was praised by fellow developer Eric Voskuil: “Many other projects have been on the receiving end of this misperception, and it has in fact caused material harm to the community. I don’t know what precipitated this change, but props to you all for stepping up.”

この新しいポリシーは、開発者仲間の Eric Voskuil 氏によって賞賛されました。「他の多くのプロジェクトがこの誤解の影響を受けており、実際、コミュニティに重大な損害を与えています。何がこの変化を引き起こしたのかはわかりませんが、皆さんがステップアップすることを応援します。」