Bitcoin Core ändert Sicherheitsrichtlinie: KI findet Schwachstellen leichter

Bitcoin Core ändert seine Strategie, da KI immer intelligenter wird

In einer Nachricht vom 22. Oktober an die Bitcoin-Entwickler-Mailingliste kündigte der Bitcoin-Core-Entwickler Antoine Poinsot Änderungen an der Richtlinie zur Offenlegung von Sicherheitslücken des Projekts an und verwies dabei auf eine wachsende Zahl von Sicherheitsberichten über Fehler, die mit minimalem Aufwand entdeckt oder wiederentdeckt werden können.

„Wir haben in letzter Zeit einen Anstieg der Meldungen über Sicherheitslücken verzeichnet, die leicht (wieder)entdeckt werden können“, schrieb Poinsot. „Dies ist größtenteils darauf zurückzuführen, dass große Sprachmodelle (LLMs) die Hürde für das Auffinden bestimmter Problemklassen oder das Identifizieren verdeckter Korrekturen drastisch senken.“

Große Sprachmodelle (Large Language Models, LLMs) sind die Technologie, die KI-Assistenten wie ChatGPT zugrunde liegt. Ihre zunehmende Fähigkeit, Softwarecode zu analysieren, stellt eine Herausforderung für Entwickler dar, die versuchen, Transparenz mit der Notwendigkeit in Einklang zu bringen, Nutzer vor Angriffen zu schützen.

In der Vergangenheit hat Bitcoin Core – die Software, die das dezentrale Netzwerk der führenden Kryptowährung stützt – lange Veröffentlichungssperren bevorzugt, um den Nutzern Zeit zu geben, ihre Software zu aktualisieren, bevor die Öffentlichkeit von den Schwachstellen erfährt. Dieser Ansatz spiegelt den dezentralen Charakter von Bitcoin und eine relativ träge Kultur bei der Aktualisierung unter den Knotenbetreibern wider.

Allerdings haben diese Sperrfristen auch die Bemühungen erschwert, Sicherheitspatches an Nutzer zu liefern, die ältere Versionen von Bitcoin Core verwenden. „Bei diesen leicht zu findenden Problemen ist das der falsche Kompromiss“, sagte Poinsot. „Die Sperrfrist bringt wenig, verzögert aber die Verfügbarkeit einer korrigierten Version.“

Im Rahmen der überarbeiteten Richtlinie können Bitcoin-Core-Entwickler Sicherheitslücken nun bereits bei ihrer ersten Bewertung als „leicht auffindbar“ einstufen. Diese Einstufung umfasst Schwachstellen, die mit einem einfachen KI-Befehl aufgedeckt werden können, ist jedoch nicht auf Sicherheitslücken beschränkt, die mithilfe künstlicher Intelligenz gefunden wurden.

Anstatt Korrekturen bis zur nächsten großen Softwareversion zurückzuhalten, werden die Entwickler Patches auf alle aktiv gepflegten Hauptversionen zurückportieren und die Updates so schnell wie möglich veröffentlichen. Die gepatchten Versionen werden von einem öffentlichen Sicherheitshinweis begleitet, wodurch die üblichen Sperrfristen umgangen werden.

Die Änderungen wurden in einem GitHub-Pull-Request formalisiert, der am 16. Oktober von Poinsot eingereicht und am 22. Oktober zusammengeführt wurde. Neben der Einführung der neuen Schwachstellenklassifizierung ändert die Überarbeitung auch die Formulierung, wonach eine Vorankündigung von zwei Wochen vor der öffentlichen Bekanntgabe erforderlich ist, und stellt klar, dass diese Anforderung für Schwachstellen gilt, die noch einer Sperrfrist unterliegen.

In der begleitenden Diskussion wurden auch mögliche Vor- und Nachteile hervorgehoben. Poinsot räumte ein, dass eine Beschleunigung der Sicherheitsveröffentlichungen die Zeit für das Testen von Korrekturen in Entwicklungszweigen verkürzen könnte, argumentierte jedoch, dass unkomplizierte, leicht überprüfbare Patches möglicherweise vorzuziehen seien gegenüber Versuchen, Schwachstellen zu verbergen, die KI-Tools ohnehin aufdecken könnten.

Andere Entwickler diskutierten, ob Nutzer in manchen Fällen Warnungen erhalten sollten, bevor Korrekturen verfügbar sind, obwohl die verabschiedete Richtlinie vorsieht, Sicherheitshinweise parallel zu den gepatchten Versionen zu veröffentlichen.

Wie sich dieser Schritt auf die Offenlegung von Sicherheitslücken auswirkt

Die Änderungen stellen eine erhebliche Abkehr vom bisherigen Ansatz von Bitcoin Core dar, bei dem die Offenlegung von Sicherheitslücken in der Regel an den Schweregrad eines Fehlers und den Lebenszyklus der betroffenen Softwareversionen geknüpft war.

Nach dem bestehenden, auf dem Schweregrad basierenden Rahmen werden Schwachstellen mit geringem Schweregrad zwei Wochen nach einer Hauptversion, die einen Fix enthält, öffentlich bekannt gegeben. Schwachstellen mit mittlerem und hohem Schweregrad unterliegen erheblich längeren Sperrfristen, wobei die Offenlegung zwei Wochen nach Erreichen des End-of-Life-Status der letzten betroffenen Version erfolgt, typischerweise etwa ein Jahr nach dem ersten Fix.

Diese Fristen gelten weiterhin für Sicherheitslücken, die nicht als leicht auffindbar gelten. Kritische Fehler, die die grundlegende Sicherheit von Bitcoin gefährden – darunter Fehler, die die Erstellung nicht autorisierter Coins ermöglichen oder dauerhafte, netzwerkweite Kettenaufspaltungen verursachen können –, erfordern weiterhin eine Sonderbehandlung außerhalb der Standardrichtlinie.

Die Überarbeitung könnte unmittelbare Auswirkungen auf Nutzer haben, die ältere Bitcoin-Core-Software verwenden, da alle aktiv gepflegten Hauptversionen nach den neuen Regeln für beschleunigte Patches in Frage kämen. Die Richtlinienänderung deutet nicht darauf hin, dass die Kryptografie von Bitcoin kompromittiert wurde oder dass ein spezifischer neuer Exploit entdeckt wurde. Vielmehr spiegelt sie ein sich wandelndes Sicherheitsumfeld wider, in dem Entwickler nicht mehr davon ausgehen können, dass das Zurückhalten von Details zu Schwachstellen Angreifer daran hindert, dieselben Schwachstellen eigenständig zu identifizieren. Für Bitcoin Core führt das Aufkommen immer leistungsfähigerer KI-Tools dazu, dass der Schwerpunkt zunehmend darauf liegt, gepatchte Software früher verfügbar zu machen, anstatt sich auf Geheimhaltung zu verlassen, um Nutzer zu schützen.

Anfang dieses Jahres gaben die Entwickler des Krypto-Netzwerks Zcash bekannt, dass mithilfe von KI eine Sicherheitslücke entdeckt worden war, die es ermöglichte, unbegrenzt Coins zu prägen, und dass es aufgrund des auf Datenschutz ausgerichteten „Shielded Pool“-Designs des Netzwerks zu diesem Zeitpunkt unmöglich war, nachzuweisen, dass diese Lücke nicht ausgenutzt worden war. Der Kurs von ZEC brach damals aufgrund von Bedenken hinsichtlich potenzieller gefälschter Coins ein.

Im Juli aktualisierten die Entwickler Zcash, um den „Shielded Pool“ durch einen neuen, abgesicherten Pool zu ersetzen, und fügten eine unabhängige Überprüfung hinzu, um sicherzustellen, dass das ZEC-Angebot nicht aufgebläht worden war. Der Preis von Zcash hat sich seitdem mehr als verdoppelt.