Разработчики Bitcoin Core официально отказались от многолетней практики тихого внедрения исправлений без публичного раскрытия и приняли структурированную политику информирования об уязвимостях. Как сообщается, поводом для ускорения перемен стали результаты работы исследователей в области искусственного интеллекта, которые пометили 4 962 потенциальные проблемы в проектах, связанных с Bitcoin.
Новая политика делит уязвимости по степени серьезности. Проблемы низкого и среднего уровня становятся публичными через две недели после выпуска патча. Для уязвимостей высокого уровня устанавливается более длительный период эмбарго, чтобы дать сети время на обновление. Критические уязвимости, которые способны нанести ущерб всей сети, рассматриваются в индивидуальном порядке без фиксированного срока раскрытия, пока риск не снизится.
Прежний подход создавал информационный разрыв для операторов нод: исправление серьезной ошибки могло выйти в рамках релиза, который выглядел как рутинное обслуживание, и владельцы устаревших версий не понимали, что подвергаются риску. Это, в частности, проявилось в истории с патчем для атаки на повышение комиссии Bitcoin. Теперь, когда выходит исправленная версия, операторы могут оценить серьезность устраненной проблемы и осознанно принять решение об обновлении.
Изменение затрагивает примерно 20 000 достижимых полных нод сети. Раскрытие происходит уже после выхода исправления, что соответствует стандартной модели ответственного разглашения, используемой в индустрии. Для институциональных участников — бирж, кастодианов и поставщиков инфраструктуры — предсказуемые сроки раскрытия снижают неопределенность при управлении патчами безопасности.
Эксперты отмечают, что прозрачность в вопросах безопасности повышает доверие к Bitcoin как денежной инфраструктуре, поскольку фиксированное предложение и финальность транзакций напрямую зависят от корректности программного обеспечения, реализующего консенсусные правила. Первым серьезным тестом новой системы станет раскрытие уязвимости высокого уровня по новым правилам.
