Перший публічний сторонній аудит Bitcoin Core не виявив серйозних вразливостей
Швидкий огляд: Чотиримісячний аудит Bitcoin Core, проведений Quarkslab, не виявив критичних, високих чи середньої серйозності проблем, що стало першим в історії публічним аудитом цього програмного забезпечення сторонньою організацією. В результаті аудиту були розроблені нові інструменти для тестування та інфраструктура для fuzzing, спрямовані на зміцнення довгострокової безпеки Bitcoin.
Кібербезпекова компанія Quarkslab завершила перший публічний, незалежний аудит безпеки кодової бази Bitcoin Core — відкритої еталонної реалізації, яка лежить в основі мережі Bitcoin, включаючи повноцінний вузол, графічний інтерфейс користувача та вбудований гаманець.
Чотиримісячна оцінка, профінансована Brink, некомерційною організацією, що підтримує розробку відкритого протоколу Bitcoin, і координована Open Source Technology Improvement Fund (OSTIF), була зосереджена на одноранговому мережевому рівні — основній поверхні атаки мережі — а також на суміжних компонентах, включаючи управління mempool, стан ланцюга, валідацію транзакцій і логіку консенсусу, згідно з оголошенням у середу.
Аудит, завершений у вересні, склав 100 людино-днів роботи, виконаної трьома інженерами Quarkslab за технічної підтримки Brink і дослідницько-розробницької компанії Chaincode Labs. Перед початком перевірки коду двоє аудиторів працювали особисто з інженерами Brink, щоб ознайомитися з архітектурою та практиками розробки Bitcoin Core.
Процес поєднував ручний аналіз коду, динамічне тестування та передові методи fuzzing, запозичені з існуючих робочих процесів безперервної інтеграції Bitcoin. Fuzzing — це автоматизований метод тестування програмного забезпечення, який намагається зламати код, подаючи на вхід великі обсяги неочікуваних, випадкових або некоректних даних.
Метою було не сертифікувати Bitcoin Core, а "активно шукати вразливості, вдосконалювати методології тестування та знаходити практичні способи зміцнення кодової бази", зазначили в Brink у окремому дописі.
Відсутність серйозних проблем, але помітні покращення тестування
Quarkslab не виявила критичних, високих чи середніх за рівнем серйозності проблем. Аудитори ідентифікували дві малосерйозні проблеми та надали 13 інформаційних рекомендацій, жодна з яких не кваліфікується як вразливість безпеки згідно зі стандартами класифікації Bitcoin Core.
"Серйозних проблем не було виявлено, але було досягнуто незначного прогресу в існуючих інструментах fuzzing, а також створено нові для покриття нетестованих сценаріїв, таких як реорганізація ланцюга", — зазначили в Quarkslab.
"Хоча під час цього аудиту не було виявлено знахідок із критичним, високим чи середнім впливом на безпеку, він надав цінний зворотний зв'язок, інсайти, інформацію та покращення тестування для Bitcoin", — додали в OSTIF.
Результати підкріплюють давню думку про Bitcoin Core як про зрілу та консервативно спроєктовану систему, яку підтримують десятки учасників і перевіряють кілька організацій. Хоча оцінка була зосереджена на визначеній підмножині кодової бази, незалежні перевірки можуть знову стати цінними в майбутньому, особливо для нових компонентів, що з'являться у майбутніх релізах, зазначили компанії.
"Bitcoin Core — це еталонна реалізація, яка забезпечує роботу мережі Bitcoin і допомагає захищати трильйони доларів вартості", — сказали в Brink. "Проєкт має сильний послужний список у сфері безпеки, але ніколи не проходив зовнішню оцінку безпеки. Чим більше незалежних експертів із безпеки, які приносять свої унікальні погляди, тим краще".
Питання квантових загроз і дебати щодо різноманітності клієнтів
Аудит відбувся на тлі відновлених дискусій щодо довгострокової квантової загрози криптографічним припущенням Bitcoin. Bitcoin, як і більшість основних блокчейнів, покладається на цифрові підписи на еліптичних кривих, які захищені від класичних атак, але теоретично вразливі до алгоритму Шора на майбутньому великомасштабному квантовому комп'ютері.
Якщо криптографія на еліптичних кривих буде зламана, приватні ключі можна буде отримати безпосередньо з відкритих ключів — не шляхом грубого перебору, який залишиться нездійсненним, а через математичний обхід, можливий завдяки квантовим алгоритмам. Дослідники продовжують обговорювати часові рамки, коли можуть знадобитися постквантові оновлення, з оцінками від кількох років до десятиліть, що стимулює постійний пошук шляхів міграції для захисту коштів після розкриття відкритих ключів.
Формати нативних SegWit-адрес Bitcoin, які починаються з "bc1q", вважаються більш стійкими до квантових атак, оскільки вони не розкривають відкритий ключ до моменту витрати коштів. На ланцюгу видно лише хешований відкритий ключ, що значно ускладнює атаку для квантового комп'ютера.
Це означає, що кошти, збережені на цих адресах, залишаються захищеними від квантових атак на відновлення ключа, доки вони не були витрачені і відкритий ключ не був розкритий іншим чином. Однак після такої витрати відкритий ключ стає видимим, і будь-які залишкові кошти, пов'язані з цією адресою, отримають таку ж вразливість — що ще раз підкреслює давню рекомендацію уникати повторного використання адрес і переміщати весь баланс при витратах.
Огляд Bitcoin Core також відбувся після нещодавньої дискусії в екосистемі Bitcoin щодо різноманітності клієнтів і взаємовідносин між Bitcoin Core і Knots — похідною реалізацією, яка підтримує певні політики та параметри конфігурації, змінені в останньому релізі Core v30 минулого місяця. Часто гарячі дебати підкреслили різні погляди на те, як Bitcoin має балансувати консерватизм, опціональність і децентралізацію у своєму програмному стеку.
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
Звіт про прибутки Nvidia, трильйонний IPO Anthropic слідує один за одним! Чекає ще більше випробувань для AI-трейдингу наступного тижня
Шок після відставки Хуана Женьсюня ще не вщух, а наступного тижня на AI-ринок чекають два важливих випробування: перший фі нансовий звіт Nvidia в "пост-Хуанову епоху" (якщо результати виявляться нижчими за очікування, ринок може жорстко покарати компанію); а також грандіозне IPO Anthropic із трильйонною оцінкою. Два ці питання прямо вплинуть на те, чи зможе світовий капітал і надалі вірити в AI.
Глобальний прогноз фондового ринку від Goldman Sachs: наступного року капітальні витрати на AI досягнуть піку, різке уповільнення зростання прибутків, хмарні гіганти стануть "захисними активами"
Глобальна стратегія щодо акцій на 2027 рік від Goldman Sachs зазначає, що хвиля капітальних витрат на AI наближається до свого піку, а темпи зростання світових прибутків суттєво сповільняться. Зростання прибутку S&P 500, як очікується, знизиться з 36% до 11%, а тиск амортизації поступово проявлятиметься. Однак оцінка хмарних гігантів вже скоригована до 19,7 разу очікуваного співвідношення ціни до прибутку, що нижче, ніж у сектору товарів першої необхідності; вони класифікуються як «відносно захисні» активи. Goldman Sachs прогнозує ціль для S&P 500 на рівні 8700 пунктів і рекомендує переважно інвестувати в американські та японські активи, а європейські – недоінвестовувати.
Володіючи акціями Nvidia на суму 135 мільярдів доларів, чи буде Дженсен Хуан продавати їх для отримання готівки?
Після відставки Хуана Женьсюня, його пакет акцій Nvidia у розмірі приблизно 812 мільйонів акцій із ринковою вартістю 135 мільярдів доларів став "серйозним тиском" на ціну акцій. Чи зможе він зменшити свою частку, залежить як від законодавчих, так і від ринкових обмежень: акції можна продавати лише після розкриття невідомої негативної інформації, а обсяг пакету дорівнює шести торговим дням для всього ринку, тому масштабна реалізація потребує кілька місяців.
Чи буде цього року на американському фондовому ринку традиційний різдвяний ралі?
Після одночасного технічного та позиційного відновлення американського фондового ринку Goldman Sachs, Morgan Stanley та JPMorgan один за одним подали сигнали річного ралі. Екстремальне очищення позицій, повернення оцінок до середнього рівня та сезонна підтримка разом створюють умови для короткого стискання. Проте інфляція цін на імпорт у світовій промисловості досягла приблизно 24% у річному обчисленні, що вже перевищує піковий рівень під час пандемії, і рахунок за інфляцію зосередиться на першому кварталі наступного року. Goldman Sachs попереджає, що якщо річне ралі справдиться, це випередить потенціал подальшого зростання.
Ціни на криптовалюти
Більше
