Bitcoin Core past beveiligingsbeleid aan nu AI kwetsbaarheden makkelijker vindt

Bitcoin Core past strategie aan naarmate AI slimmer wordt

In een bericht van 22 oktober aan de Bitcoin Development Mailing List kondigde Bitcoin Core-ontwikkelaar Antoine Poinsot wijzigingen aan in het beleid van het project inzake het openbaar maken van kwetsbaarheden. Hij verwees daarbij naar een groeiend aantal beveiligingsrapporten over bugs die met minimale inspanning kunnen worden ontdekt of herontdekt.

"We hebben recentelijk een toename gezien in het aantal meldingen van beveiligingskwetsbaarheden die gemakkelijk (opnieuw) kunnen worden ontdekt", schreef Poinsot. "Dit is grotendeels te wijten aan het feit dat LLM's de drempel om bepaalde soorten problemen te vinden of verborgen fixes te identificeren drastisch verlagen."

Grote taalmodellen, of LLM’s, vormen de technologie achter AI-assistenten zoals ChatGPT. Hun toenemend vermogen om softwarecode te analyseren vormt een uitdaging voor ontwikkelaars die een evenwicht proberen te vinden tussen transparantie en de noodzaak om gebruikers tegen aanvallen te beschermen.

Van oudsher heeft Bitcoin Core – de software die ten grondslag ligt aan het gedecentraliseerde netwerk van de toonaangevende cryptovaluta – de voorkeur gegeven aan langdurige publicatieverboden, waardoor gebruikers de tijd krijgen om hun software te updaten voordat het publiek op de hoogte raakt van kwetsbaarheden. Deze aanpak weerspiegelt het gedecentraliseerde karakter van Bitcoin en een relatief trage updatecultuur onder node-beheerders.

Die embargo’s hebben echter ook de inspanningen bemoeilijkt om beveiligingspatches te leveren aan gebruikers die oudere versies van Bitcoin Core draaien.

„Voor deze problemen die gemakkelijk te vinden zijn, is dit de verkeerde afweging“, zei Poinsot. „De embargo-periode levert weinig op, maar vertraagt wel de beschikbaarheid van een gerepareerde release.“

Onder het herziene beleid kunnen Bitcoin Core-ontwikkelaars kwetsbaarheden nu tijdens hun eerste beoordeling classificeren als „gemakkelijk te ontdekken“. Deze aanduiding omvat fouten die met een eenvoudige AI-prompt aan het licht kunnen worden gebracht, hoewel het niet beperkt is tot kwetsbaarheden die met behulp van kunstmatige intelligentie zijn gevonden.

In plaats van oplossingen achter te houden tot de volgende grote softwareversie, zullen ontwikkelaars patches terugporten naar elke actief onderhouden hoofdversie en de updates zo snel mogelijk uitbrengen. De gepatchte releases gaan vergezeld van een openbaar beveiligingsadvies, waarmee de gebruikelijke embargo-periodes worden omzeild.

De wijzigingen werden geformaliseerd in een GitHub-pull-request die op 16 oktober door Poinsot werd ingediend en op 22 oktober werd samengevoegd. Naast het invoeren van de nieuwe kwetsbaarheidsclassificatie, wijzigt de herziening de bepaling die een voorafgaande kennisgeving van twee weken vereist vóór openbaarmaking, waarbij wordt verduidelijkt dat deze vereiste van toepassing is op kwetsbaarheden die nog onder een embargo vallen.

In de bijbehorende discussie werden ook mogelijke afwegingen belicht. Poinsot erkende dat het versnellen van beveiligingsreleases de beschikbare tijd voor het testen van oplossingen in ontwikkelingsbranches zou kunnen verminderen, maar stelde tegelijkertijd dat eenvoudige, gemakkelijk te verifiëren patches wellicht de voorkeur verdienen boven pogingen om kwetsbaarheden te verbergen die AI-tools toch zouden kunnen ontdekken.

Andere ontwikkelaars debatteerden over de vraag of gebruikers soms waarschuwingen zouden moeten ontvangen voordat oplossingen beschikbaar komen, hoewel het aangenomen beleid voorschrijft dat er naast gepatchte releases ook beveiligingsadviezen worden gepubliceerd.

Hoe deze stap de openbaarmaking van beveiligingsinformatie verandert

De veranderingen betekenen een aanzienlijke afwijking van de eerdere aanpak van Bitcoin Core, waarbij het openbaar maken van kwetsbaarheden doorgaans werd gekoppeld aan de ernst van een fout en de levenscyclus van de getroffen softwareversies.

Onder het bestaande, op ernst gebaseerde kader worden kwetsbaarheden met een lage ernst twee weken na een grote release die een oplossing bevat, openbaar gemaakt. Voor kwetsbaarheden met een gemiddelde en hoge ernst gelden aanzienlijk langere embargo's, waarbij openbaarmaking plaatsvindt twee weken nadat de laatste getroffen release de end-of-life-status bereikt, doorgaans ongeveer een jaar na de eerste oplossing.

Deze termijnen blijven van kracht voor kwetsbaarheden die niet als gemakkelijk ontdekbaar worden beschouwd. Kritieke fouten die de fundamentele beveiliging van Bitcoin bedreigen, waaronder bugs waarmee ongeautoriseerde munten kunnen worden gecreëerd of die permanente ketenafsplitsingen in het hele netwerk kunnen veroorzaken, vereisen nog steeds een speciale behandeling buiten het standaardbeleid om.

De herziening zou onmiddellijke gevolgen kunnen hebben voor gebruikers die oudere Bitcoin Core-software draaien, aangezien alle actief onderhouden hoofdversies volgens de nieuwe regels in aanmerking zouden komen voor versnelde patches.

De beleidswijziging betekent niet dat de cryptografie van Bitcoin is gecompromitteerd of dat er een specifieke nieuwe exploit is ontdekt. In plaats daarvan weerspiegelt het een veranderende beveiligingsomgeving waarin ontwikkelaars er niet langer van uit kunnen gaan dat het achterhouden van details over kwetsbaarheden zal voorkomen dat aanvallers zelfstandig dezelfde zwakke plekken ontdekken.

Voor Bitcoin Core zorgt de opkomst van steeds krachtigere AI-tools ervoor dat de afweging verschuift naar het sneller beschikbaar stellen van gepatchte software, in plaats van te vertrouwen op geheimhouding om gebruikers te beschermen.

Eerder dit jaar verklaarden de ontwikkelaars achter het cryptonetwerk Zcash dat AI was gebruikt om een kwetsbaarheid te ontdekken waarmee onbeperkt munten konden worden geslagen, en dat het op privacy gerichte, afgeschermde poolontwerp van het netwerk het destijds onmogelijk maakte om aan te tonen dat er geen misbruik van was gemaakt. De prijs van ZEC kelderde destijds vanwege zorgen over mogelijke vervalste munten.

In juli hebben de ontwikkelaars Zcash geüpgraded om de ‘shielded pool’ te vervangen door een nieuwe, beter beveiligde versie, en hebben ze onafhankelijke verificatie toegevoegd om te garanderen dat het aanbod van ZEC niet was opgeblazen. De prijs van Zcash is sindsdien meer dan verdubbeld.