Bitcoin Core annonce une nouvelle politique de divulgation de sécurité
Un groupe de développeurs de Bitcoin Core a introduit une politique complète de divulgation de sécurité pour remédier aux lacunes passées dans la publication des bogues critiques pour la sécurité.Cette nouvelle politique vise à établir un processus standardisé de signalement et de divulgation des vulnérabilités, améliorant ainsi la transparence et la sécurité au sein de l'écosystème Bitcoin.Plusieurs vulnérabilités jusqu’alors non divulguées sont également incluses dans l’annonce.
Qu’est-ce qu’une divulgation de sécurité?
Une divulgation de sécurité est un processus par lequel des chercheurs en sécurité ou des pirates informatiques éthiques signalent à l'organisation concernée les vulnérabilités qu'ils découvrent dans les logiciels ou les systèmes. L'objectif est de permettre à l'organisation de remédier à ces vulnérabilités avant qu'elles ne soient exploitées par des acteurs malveillants. Ce processus implique généralement la découverte de la vulnérabilité, son signalement confidentiel, la vérification de son existence, le développement d'un correctif et enfin, la divulgation publique de la vulnérabilité ainsi que des détails et des conseils d'atténuation.
Les utilisateurs devraient-ils s’inquiéter ?
Les dernières révélations de sécurité de Bitcoin Core concernent diverses vulnérabilités de gravité variable. Les principaux problèmes incluent de multiples vulnérabilités par déni de service (DoS) qui pourraient provoquer des interruptions de service, une faille d'exécution de code à distance (RCE) dans la bibliothèque miniUPnPc, des bogues de gestion des transactions qui pourraient conduire à une censure ou à une mauvaise gestion des transactions orphelines, et des vulnérabilités réseau telles que l'explosion de la mémoire tampon et le dépassement d'horodatage entraînant des divisions du réseau. Aucune de ces vulnérabilités ne semble constituer un risque critique pour le réseau Bitcoin. Quoi qu'il en soit, les utilisateurs sont vivement encouragés à s'assurer que leur logiciel est à jour.Pour des informations détaillées, consultez les commits sur GitHub : Bitcoin Core Security Disclosures.
Améliorer le processus de divulgation
La nouvelle politique de Bitcoin Core classe les vulnérabilités en quatre niveaux de gravité : faible, moyen, élevé et critique.
- Faible gravité : bugs difficiles à exploiter ou ayant un impact minimal. Ceux-ci seront divulgués deux semaines après la publication d'un correctif
- Gravité moyenne et élevée : bugs ayant un impact significatif ou une facilité d'exploitation modérée. Ceux-ci seront divulgués un an après la fin de vie de la dernière version concernée
- Gravité critique : les bugs qui menacent l'intégrité de l'ensemble du réseau, tels que les vulnérabilités liées à l'inflation ou au vol de pièces, seront traités avec des procédures ad hoc en raison de leur nature grave
Cette politique vise à assurer un suivi cohérent et des processus de divulgation standardisés, encourageant ainsi la production de rapports responsables et permettant à la communauté de résoudre rapidement les problèmes.
Historique des divulgations de CVE dans Bitcoin
Au fil des ans, Bitcoin a connu plusieurs problèmes de sécurité notables, appelés CVE (Common Vulnerabilities and Exposures). Ces incidents soulignent l'importance de pratiques de sécurité vigilantes et de mises à jour en temps opportun. Voici quelques exemples clés :CVE-2012-2459 : ce bug critique pouvait provoquer des problèmes de réseau en permettant aux attaquants de créer des blocs non valides qui semblaient valides, divisant ainsi potentiellement le réseau Bitcoin de manière temporaire. Il a été corrigé dans la version 0.6.1 de Bitcoin Core et a motivé de nouvelles améliorations des protocoles de sécurité de Bitcoin.CVE-2018-17144 : un bug critique aurait pu permettre à des attaquants de créer des bitcoins supplémentaires, en violation du principe d'approvisionnement fixe. Ce problème a été découvert et corrigé en septembre 2018. Les utilisateurs devaient mettre à jour leur logiciel pour éviter toute exploitation potentielle. De plus, la communauté Bitcoin a discuté de diverses autres vulnérabilités et correctifs potentiels qui n’ont pas encore été mis en œuvre. CVE-2013-2292 : En créant des blocs dont la vérification prend beaucoup de temps, un attaquant pourrait ralentir considérablement le réseau.CVE-2017-12842 : cette vulnérabilité peut tromper les portefeuilles Bitcoin légers en leur faisant croire qu'ils ont reçu un paiement alors que ce n'est pas le cas. Cela constitue un risque pour les clients SPV (Simplified Payment Verification). Les discussions autour de ces vulnérabilités soulignent la nécessité constante de mises à jour coordonnées et soutenues par la communauté du protocole Bitcoin. Les recherches en cours autour de l'idée d'un soft fork de nettoyage par consensus visent à traiter les vulnérabilités latentes de manière unifiée et efficace, garantissant ainsi la robustesse et la sécurité continues du réseau Bitcoin.Le maintien de la sécurité des logiciels est un processus dynamique qui nécessite une vigilance et des mises à jour continues. Cela rejoint le débat plus large sur l’ossification du Bitcoin, où le protocole de base reste inchangé pour maintenir la stabilité et la confiance. Alors que certains prônent des changements minimes pour éviter les risques, d’autres soutiennent que des mises à jour occasionnelles sont nécessaires pour améliorer la sécurité et les fonctionnalités. Cette nouvelle politique de divulgation de Bitcoin Core est un pas vers l’équilibre entre ces perspectives en garantissant que toutes les mises à jour nécessaires sont bien communiquées et gérées de manière responsable.
