تغییر سیاست افشای امنیتی بیت‌کوین کور: آسیب‌پذیری‌ها سریع‌تر اعلام می‌شوند
بیت‌کوین کور یک رویه افشای سریع برای آسیب‌پذیری‌هایی که به سادگی قابل کشف مجدد هستند، اضافه کرده است. طبق این رویه جدید، اصلاحیه‌ها برای تمام نسخه‌های اصلی تحت پشتیبانی، همزمان با یک بیانیه عمومی منتشر خواهند شد. سایر باگ‌ها با شدت کم، متوسط و بالا همچنان از جدول زمانی افشای قبلی (از دو هفته تا بیش از یک سال) پیروی می‌کنند.
پروژه بیت‌کوین کور (Bitcoin Core) سیاست افشای امنیتی خود را تغییر داده است. این تصمیم پس از آن گرفته شد که توسعه‌دهندگان دریافتند برخی از آسیب‌پذیری‌ها با تلاشی اندک، حتی با یک درخواست ساده از یک مدل هوش مصنوعی، قابل کشف مجدد هستند.
بر اساس به‌روزرسانی این سیاست در ۲۲ اکتبر، یک مسیر سریع‌تر برای افشای این دسته از باگ‌ها ایجاد شده است. نگهدارندگان (Maintainers) این پروژه قصد دارند در اسرع وقت برای هر نسخه اصلی تحت پشتیبانی، یک نسخه اصلاحی (point release) منتشر کرده و همزمان با آن، یک بیانیه امنیتی عمومی نیز صادر کنند. سایر آسیب‌پذیری‌ها همچنان از جدول زمانی افشای موجود پیروی خواهند کرد.
این تغییر به معنای کاهش زمان بین تأیید کشف یک آسیب‌پذیری، انتشار نسخه اصلاح‌شده و اطلاع‌رسانی عمومی جزئیات آن است. لازم به ذکر است که با این تغییر سیاست، آسیب‌پذیری جدیدی اعلام نشده و صرفاً یک گزارش تولید شده توسط هوش مصنوعی به طور خودکار به عنوان یک آسیب‌پذیری واقعی تلقی نمی‌شود.
نودهای بیت‌کوین وظیفه اعتبارسنجی محلی بلاک‌ها و تراکنش‌ها را بر عهده دارند و سرویس‌هایی مانند صرافی‌ها و نگهدارنده‌ها (custodians) عملیات خود را بر پایه آن‌ها بنا می‌کنند. اگرچه یک نسخه اصلاح‌شده ممکن است برای تمام نسخه‌های تحت پشتیبانی در دسترس قرار گیرد، اما این اپراتورهای سیستم‌ها هستند که تصمیم می‌گیرند چه زمانی آن را نصب کنند. نرم‌افزار بیت‌کوین کور به طور خودکار به‌روزرسانی نمی‌شود. افشای عمومی می‌تواند به افراد کمک کند تا مشکل را شناسایی کرده و اصلاحیه را نصب کنند، اما در عین حال، اطلاعاتی را در اختیار مهاجمان قرار می‌دهد که ممکن است از آن برای حمله به نودهای به‌روزنشده استفاده کنند.
تمایز بین سهولت کشف و شدت آسیب‌پذیری
سیاست جدید یک تمایز کلیدی ایجاد می‌کند: سهولت کشف یک آسیب‌پذیری، جدا از شدت آن ارزیابی می‌شود. پیش از این، بیت‌کوین کور آسیب‌پذیری‌ها را بر اساس تأثیرات و نحوه بهره‌برداری از آن‌ها به دسته‌های بحرانی، بالا، متوسط یا پایین طبقه‌بندی می‌کرد.
اکنون، این سؤال نیز مطرح می‌شود که یک فرد چقدر آسان می‌تواند آن آسیب‌پذیری را پیدا کند. این بدان معناست که یک باگ می‌تواند به سادگی قابل کشف، اما در عین حال برای نودهای آسیب‌دیده بسیار خطرناک باشد. برعکس، یک مشکل پیچیده ممکن است در صورت بهره‌برداری، اثر جدی داشته باشد، اما همچنان نیاز به زمان بیشتری برای محرمانه نگه داشتن جزئیات آن وجود داشته باشد.
آنتوان پوانسو (Antoine Poinsot)، که این تغییر را پیشنهاد کرده بود، در بحث‌های مربوط به این موضوع گفت که نگهدارندگان گزارش‌های بیشتری از آسیب‌پذیری‌های با قابلیت کشف مجدد آسان دریافت کرده‌اند. او بخش بزرگی از این تغییر را به مدل‌های زبانی بزرگ (LLMs) نسبت داد که تلاش لازم برای یافتن برخی مشکلات را کاهش داده‌اند. به گفته او، وقتی شخص دیگری می‌تواند به سرعت و به طور مستقل یک ضعف را پیدا کند، مخفی نگه داشتن جزئیات آن، امنیت کمتری را فراهم می‌کند.
جدول زمانی افشاگری‌های قدیمی
برای آسیب‌پذیری‌های معمولی، جدول زمانی متفاوتی اعمال می‌شود. طبق سیاست قبلی، آسیب‌پذیری‌های با شدت کم، دو هفته پس از انتشار نسخه اصلی حاوی اصلاحیه، افشا می‌شوند. مشکلات با شدت متوسط و بالا، دو هفته پس از پایان عمر (end of life) آخرین نسخه آسیب‌دیده، که تقریباً یک سال پس از انتشار اولیه اصلاحیه است، علنی می‌شوند.
برای مثال، یادداشت‌های انتشار نسخه 32.0 نشان می‌دهد که سه آسیب‌پذیری با شدت متوسط یا بالا که در نسخه 30.0 (مورخ ۱۰ اکتبر ۲۰۲۵) برطرف شده بودند، دو هفته پس از انتشار نسخه جدیدتر (نسخه 32.0 در ۲۱ اکتبر ۲۰۲۶) افشا خواهند شد. این فاصله ۳۷۶ روزه، نشان‌دهنده روند طولانی افشا در سیاست قدیمی است.
مسئولیت اپراتورهای نود و نسخه‌های تحت پشتیبانی
چرخه عمر نرم‌افزار بیت‌کوین کور بیان می‌کند که نگهدارندگان از سه نسخه اصلی آخر پشتیبانی می‌کنند. با انتشار نسخه 32.0، پشتیبانی از نسخه 29.x و قدیمی‌تر به پایان رسیده است. بنابراین، مسیر افشای سریع جدید برای شاخه‌های 30.x، 31.x و 32.x اعمال می‌شود. انتشار یک نسخه اصلاحی برای هر یک از این شاخه‌ها به اپراتور اجازه می‌دهد تا بدون نیاز به ارتقا به آخرین نسخه اصلی و پذیرش تمام ویژگی‌های جدید، صرفاً اصلاحیه امنیتی را اعمال کند.
اپراتورهایی که از نسخه‌های قدیمی‌تر از سه شاخه اصلی استفاده می‌کنند، با تصمیم متفاوتی روبرو هستند. این نسخه‌ها دیگر به‌روزرسانی‌های امنیتی دریافت نخواهند کرد و برای دریافت اصلاحیه‌های آتی، اپراتور باید به یک شاخه تحت پشتیبانی مهاجرت کند.
بیت‌کوین کور هیچ اپراتور مرکزی برای اعمال به‌روزرسانی‌ها بر روی تمام نودها ندارد. یک کاربر خانگی ممکن است به سرعت نسخه جدید را دانلود کند، اما یک صرافی یا استخر استخراج ممکن است قبل از اعمال تغییرات در سیستم‌های اصلی خود، نیاز به آزمایش‌های گسترده داشته باشد. این تأخیر در به‌روزرسانی، یک پنجره فرصت برای مهاجمان ایجاد می‌کند، زیرا بیانیه عمومی همزمان به اپراتورها و مهاجمان اطلاعات می‌دهد.
