Bitcoin Core تسرّع إصلاح وكشف الثغرات السهلة الاكتشاف بالذكاء الاصطناعي

يظهر التغيير بالفعل في السياسة الرسمية. إنه تحديث لطريقة معالجة البلاغات، وليس إعلانا عن صدور إصلاح لثغرة معينة في ذلك اليوم. وبالنسبة لمشغّل عقدة، يعني ذلك أن من المفيد متابعة تحديثات الصيانة الصغيرة والإشعارات الأمنية أيضا، وعدم انتظار الإصدار الرئيسي التالي فقط.

ما الذي يتغير عندما يسهل تكرار الاكتشاف؟

قدّم المقترح أنطوان بوانسو، المعروف في مستودع الشيفرة باسم darosior. ودُمج طلب التغيير رقم 1281 في مستودع موقع المشروع في 22 أكتوبر. وفي شرحه، كتب بوانسو أن نماذج اللغة تقلل الجهد المطلوب للعثور على أنواع معينة من الأخطاء، وللتعرف أيضا على إصلاحات أُجريت دون إبراز دلالتها الأمنية.

عادة ما يهدف إبقاء التحديث هادئا إلى إعطاء المستخدمين وقتا لتثبيت الحماية قبل وصول التفاصيل إلى المهاجمين. لكن عندما يستطيع آخرون العثور على المشكلة نفسها بسهولة، يصبح الانتظار أقل فاعلية في حماية السر ويؤخر إتاحة الإصلاح. هذا هو المبرر الذي يقدمه بوانسو للتغيير، وليس إقرارا بأن كل نتيجة تنتجها أداة ذكاء اصطناعي ثغرة حقيقية.

بحسب سياسة كشف الثغرات المحدثة في Bitcoin Core (يفتح في علامة تبويب جديدة)، يتخذ قرار تصنيف الثغرة بأنها سهلة الاكتشاف ضمن معالجة البلاغ. واستخدام الذكاء الاصطناعي مثال، لا شرط حصري. وبعد التصنيف، سيكيَّف الإصلاح أيضا لفروع الإصدارات المدعومة، ليحصل مستخدموها عليه في تحديث صيانة.

فترات الانتظار الطويلة لا تزال قائمة

بالنسبة للثغرات التي لم تصنف سهلة الاكتشاف، يظل الجدول الزمني محددا بحسب الخطورة. وتنص السياسة على كشف الثغرة منخفضة الخطورة بعد أسبوعين من إصدار نسخة رئيسية تتضمن الإصلاح. أما المتوسطة أو العالية الخطورة، فتنشر تفاصيلها بعد أسبوعين من بلوغ آخر إصدار متأثر نهاية فترة دعمه.

لذلك لا يوجد هنا وعد بنشر كل بلاغ فور تلقيه. كما تبقى الثغرات الحرجة خارج المسار المعتاد، مع معالجة ملائمة للظروف. يقف اعتباران مختلفان جنبا إلى جنب: مقدار الضرر الذي قد تسببه الثغرة، ومدى سهولة اكتشافها من جهة أخرى. وقد يسهل العثور على ثغرة دون أن تكون الأشد خطورة.

هذا التمييز مفيد أيضا لقارئ عناوين الأمن. فاسم أداة ذكاء اصطناعي لا يحل محل وصف شروط الهجوم والإصدارات المتأثرة والحل المتاح. ولتقييم خبر كهذا، يجب تحديد ما ثبت بالفعل وما لا يزال بلاغا يحتاج إلى الفحص. يساعد دليل قراءة أخبار الكريبتو على الفصل بين الحدث نفسه والتفسير المحيط به.

الإصلاح الأسرع يترك وقتا أقل للتجربة

أشار بوانسو خلال النقاش إلى أن هذه الإصلاحات ستحصل على وقت أقل للتجربة في فروع التطوير قبل وصولها إلى المستخدمين. وطرح تفضيلا محتملا لإصلاح بسيط يسهل الاطمئنان إلى أنه لا يعطل أشياء أخرى، حتى لو كشف مزيدا عن المشكلة. هذه موازنة صريحة بين السرعة والإخفاء والثقة بالإصلاح.

تشغيليا، قد يقلل تقصير الانتظار الوقت الذي يبقى فيه تثبيت معرضا لمشكلة معروفة، لكنه يستلزم أيضا الانتباه إلى التوافق والأداء بعد الترقية. ولا تتضمن الوثيقة إعلانا عن إلغاء الاختبارات. فما تزال وثائق عملية الإصدار في المشروع تشمل إعداد ملاحظات الإصدار، وإنشاء الملفات، وفحص تطابق مخرجات البناء لدى مشاركين مختلفين.

للجهة التي تشغّل خدمة فوق عقدة، تتمثل التوصية العملية في إعداد عملية تحديث مسبقا: تحديد المسؤول عن قراءة التحذيرات، وفحص المكونات التي تعتمد على العقدة، والتأكد من عودة النظام للعمل كما هو متوقع. وعند نشر إشعار محدد، يمكن مواءمة مدى استعجال الترقية مع التعرض الموصوف فيه، بدلا من اتخاذ قرار بناء على العنوان وحده.

لمن يهم التحديث وما الذي ينبغي فحصه؟

تتضمن Bitcoin Core برنامجا لعقدة كاملة تتحقق من سلسلة الكتل، إلى جانب وظائف محفظة. ولا تمثل سياستها الأمنية تحديثا تلقائيا لكل محفظة أو خدمة تداول. وعلى مستخدم يحتفظ ببيتكوين عبر تطبيق آخر معرفة البرنامج الذي يشغله ومن يتولى صيانته. يساعد شرح المحافظ والحفظ على فهم موضع هذه المسؤولية.

وفقا لوثيقة دورة حياة المشروع، تغطي الصيانة أحدث ثلاثة إصدارات رئيسية. والإصدار الذي بلغ نهاية عمره لا يحصل عادة على إصلاحات أمنية. والتوصية الرسمية هي استخدام أحدث تحديث صيانة لأحدث إصدار رئيسي يمكن الترقية إليه. ومجرد الوعد بمواءمة الإصلاح مع إصدارات سابقة لا يوسع الدعم ليشمل كل إصدار تاريخي.

يجدر بمشغّل العقدة فحص رقم الإصدار المثبت وحالة دعمه الآن، ثم قراءة كل إشعار أمني يخصه. وإذا كان يستخدم المحفظة المدمجة أيضا، فعليه معرفة تعليمات النسخ الاحتياطي والترقية قبل التثبيت. ومن المفيد التحقق أيضا من أن تنزيل الملف انتهى بتثبيته فعليا: فالملف المحفوظ على الحاسوب لا يغير البرنامج الذي يعمل بالفعل.

لا يحتاج كل قارئ إلى تشغيل عقدة للاستجابة للتغيير. يمكن لمن يعتمد على مزود خدمة فحص إشعارات الصيانة التي ينشرها، ولمن يدير برنامجه بنفسه إدخال متابعة الإصلاحات ضمن روتينه. وفي الحالتين، السؤال المفيد هو أي تحديث ينطبق على النظام المستخدم، لا مدى التهديد الذي توحي به عبارة الذكاء الاصطناعي.