Eine Bitcoin Core Software-Aktualisierung zielt auf Geschwindigkeitssteigerungen und Sicherheitsupdates (1)

Bitcoin Core Software-Update zielt auf Geschwindigkeits- und Sicherheitskorrekturen (

Ein Release-Candidate für Bitcoin Core, die Software, die die unabhängige Verifizierung von Bitcoin-Transaktionen ermöglicht, befindet sich in der Testphase, wobei eine finale Version für Oktober anvisiert wird. Das Update soll die Beschleunigung der Transaktionsverifikationen und die Behebung von Sicherheitslücken ermöglichen. Laut dem Zeitplan des Projekts trat Bitcoin Core 32.0 am Montag in die Release-Candidate-Testphase ein, wobei die Entwickler den 10. Oktober als Fertigstellungstermin anvisieren. Tests könnten diesen Zeitplan jedoch noch ändern.

Die Software, die als Bitcoin Core bekannt ist, ermöglicht es Computern, Bitcoin-Transaktionen und -Blöcke zu überprüfen. Dieses spezielle Update betrifft hauptsächlich Node-Betreiber und Entwickler, da sie darauf angewiesen sind, um Wallets und andere Dienste zu betreiben.

Was die Release Notes sagen

Blockprüfungen können durch paralleles Lesen von Datenbankinformationen beschleunigt werden, was die Blockproduktionsrate von Bitcoins unberührt lässt. Vier Wallet-Befehle werden sich in Richtung eines neueren Formats für den Austausch teilweise signierter Transaktionen zwischen Wallets und Signaturgeräten bewegen, obwohl Anwendungen weiterhin die ältere Version anfordern können.

Der Patch verhindert, dass bösartig gestaltete Wallet-Namen Befehle auf dem System eines Nodes starten. Die Schwachstelle betraf Maschinen, die nicht Windows ausführten, wo ein autorisierter Benutzer Wallets erstellen und die Walletnotify-Einstellung so einrichten konnte, dass Befehle ausgeführt wurden, wann immer eine Wallet-Transaktion stattfand.

Eine weitere Korrektur befasst sich mit dem hohen Speicherverbrauch im neuen HTTP-Server, der Anfragen von miteinander verbundenen Anwendungen verwaltet.

Wer das Speicherloch entdeckt hat

Matthew Zipkin, der als pinheadmz postet, beschrieb in seinem Patch-Vorschlag ein „Szenario der Speicherauslastung“. Zunächst schätzte er ein, dass die Gefahr auf Benutzer beschränkt sei, die ihre Identität bereits bewiesen hatten.

Der Fehler wurde bei einer Überprüfung des neuen HTTP-Servers von Bitcoin Core entdeckt, den Zipkin zusammen mit Kimi K3, einem KI-Modell, das vom Bitcoin Red Team eingesetzt wird, um Schwachstellen in Bitcoin-Software zu finden, durchführte. Laut seinen Angaben hatte eine frühere Korrektur bereits einen Teil des Problems behoben, dennoch bestand weiterhin eine Möglichkeit, den verfügbaren Speicher des Geräts auszuschöpfen – eine „OOM“- oder „Out-of-Memory“-Bedingung.

Bei der Überprüfung des Patches entdeckte der GitHub-Benutzer jeanpablojp, dass Anfragen ohne Anmeldeinformationen ebenfalls den Speicherverbrauch erhöhen konnten, sobald die REST-Schnittstelle aktiviert war. Nachdem Zipkin den Patch angepasst hatte, sagte der Gutachter, dass 16 nicht authentifizierte Verbindungen zu einem Speicherwachstum von etwa 3 MB innerhalb von 90 Sekunden führten, gegenüber zuvor 3,2 GB.

Laufende Sicherheitsverbesserungen für Bitcoin Core 32.0 umfassten einen zusammengeführten Patch, der am 5. September einging.

Weitere kürzliche Verbesserungen

In den letzten Wochen haben andere Bitcoin-Softwareentwickler eigene, separate Sicherheitslücken behoben:

• Ein Hersteller von Hardware-Wallets namens BitBox hat im August zwei schwerwiegende Firmware-Fehler behoben, ohne dass es Berichte über Ausnutzung gab.
• Die Entwickler hinter der Zahlungssoftware Core Lightning haben ebenfalls Node-Betreiber vor bestätigten Schwachstellen gewarnt, während sie an Lösungen arbeiten.

Was kommt als Nächstes

Das Ziel des Updates ist eine schnellere Verifizierung, neben der Sperrung von manipulierten Wallet-Namen und hohem Speicherverbrauch. Ein Patch für das HTTP-Server-Speicherproblem, das von Zipkin entdeckt und von jeanpablojp untersucht wurde, zeigt genau, wie vorsichtig der Überprüfungsprozess geworden ist: ein Gutachter entdeckte einen Pfad, der bereits teilweise behoben worden war, und die aktuelle Lösung gilt nun sowohl für authentifizierte als auch für nicht authentifizierte Anfragen.