Ne oldu
Geliştiriciler, yeni özel işlem yayınlama işlevindeki bir gizlilik zafiyeti konusunda uyarıda bulundu.
Neden önemli
-privatebroadcast işlevi, işlemin kaynağını ağdan gizleyerek kullanıcıların anonimliğini güçlendirmek amacıyla tam olarak bu amaçla devreye alınmıştı. Kaynak kodundaki hatanın ters etki yaratarak IP adresinin ifşasına neden olması, bu gizlilik koruma aracına olan güveni zedelemekte ve 31.0 sürümünde bu işleve güvenenler için kimliğin ortaya çıkarılması (deanonimizasyon) riskleri oluşturmaktadır.
Bitcoin Core geliştirici ekibi, yazılımın 31.0 sürümünde -privatebroadcast işlevini etkileyen bir hata tespit edildiğini bildirdi. Belirli ağ koşulları altında bu güvenlik açığı, işlemi başlatan düğümün IP adresinin alıcı eş (peer) tarafından öğrenilmesine yol açabilir. Sorun yalnızca düğümün -privatebroadcast bayrağı açık şekilde 31.0 sürümünü çalıştırdığı ve işlem yayınlamanın sendrawtransaction RPC komutu aracılığıyla gerçekleştirildiği durumlarda ortaya çıkmaktadır.
Düzeltme hazırlanmaktadır ve 31.1 sürümü güncellemesiyle yayınlanacaktır. Yama yayınlanana kadar özel yayınlama işlevini kullanan kullanıcıların veri sızıntısı riskini ortadan kaldırmak için önerilen geçici çözümlerden birini uygulamaları tavsiye edilmektedir. Geliştiriciler, tehdidin yalnızca belirtilen tüm koşulların aynı anda sağlandığı, yani belirli sürüm ve gönderim yöntemlerinin birlikte kullanıldığı yapılandırmalar için geçerli olduğunu vurgulamaktadır.
Bu mesaj, kodun dahili denetimine dayanan protokolün yaratıcılarından gelen resmi bir uyarıdır. Şu an itibarıyla bilgiler yalnızca birincil kaynak tarafından doğrulanmıştır; sağlanan materyallerde bağımsız teknik raporlar veya kötü niyetli kişilerce açıklığın fiilen istismar edildiğine dair veriler bulunmamaktadır.
Doğrulanmış gerçekler
- Bitcoin Core 31.0 sürümünde -privatebroadcast işlevinde bir gizlilik hatası tespit edilmiştir.
- Güvenlik açığı, belirli ağ koşulları altında gönderenin IP adresinin alıcı eşe sızmasına neden olabilir.
- Sorun yalnızca düğüm 31.0 sürümünde çalışıyorsa, -privatebroadcast bayrağı etkinse ve sendrawtransaction RPC komutu kullanılıyorsa ortaya çıkar.
- Düzeltme Bitcoin Core 31.1 sürümünde yayınlanacaktır.
- Kullanıcılara 31.1 güncellemesi çıkana kadar geçici çözümler kullanmaları önerilmiştir.
Bağlam
Bitcoin Core, Bitcoin yazılımının referans uygulamasıdır. Özel yayınlama işlevi, düğümlerin işlemleri tüm ağda standart yayılım yerine doğrudan seçilen bir eşe göndermesine olanak tanır; bu da teorik olarak trafik analizini zorlaştırır ve işlemlerin belirli IP adresleriyle ilişkilendirilmesini engeller.
Henüz bilinmeyenler
- Bu uygulamada IP adresi sızıntısının teknik mekanizma detayları nelerdir?
- Uyarı yayınlanmadan önce bu güvenlik açığının üçüncü taraflarca kullanıldığına dair kaydedilmiş vakalar var mı?
- Önerilen geçici çözümler sıradan düğüm kullanıcıları için ne kadar karmaşıktır?
Yapay zekâ analizi
Güven düzeyi: orta
Zafiyetin kitlesel bir olaydan önce geliştiricilerin kendileri tarafından keşfedilmesi ve duyurulması, çalışan dahili güvenlik test süreçlerinin varlığına işaret etmektedir. Ancak, merkeziyetsiz P2P ağlarında meta verileri gizleme mekanizmalarının uygulanmasının zorluğunu gösteren şekilde, gizlilik açısından kritik bir işlevde implementasyondan hemen sonra bir hatanın bulunmuş olması dikkat çekicidir.
Stratejik AI sonucu
En olası sonuç, 31.1 sürümü çıktıktan hemen sonra güvenlik düğümlerinin önemli bir kısmının hızlıca güncellenmesidir. İzlenecek bir sonraki sinyal, Bitcoin ağındaki düğüm sürüm güncelleme istatistikleri olacaktır. Temel belirsizlik, 31.0'ın çıkışı ile uyarının yayını arasında geçen sürede kullanıcıların ne kadarının yeni işlevi aktif ettiği ve verilerinin çoktan tehlikeye girip girmediğidir.