Sicherheitsupdates für Bitcoin Lightning: 71% der Knoten weiterhin gefährdet
Eine Studie zeigt, dass 71 % der Bitcoin Lightning-Knoten weiterhin ungeschützte Software betreiben, obwohl Sicherheitsupdates seit über einem Jahr verfügbar sind, was auf verzögerte Upgrades hinweist.
Einleitung
Fast drei Viertel der öffentlichen Bitcoin Lightning-Knoten, die im August als gefährdet identifiziert wurden, betrieben im Oktober weiterhin betroffene Softwareversionen. Eine Studie vom 21. Oktober ergab, dass 71 % einer Gruppe von 550 öffentlichen LND-Knoten, die während einer Sicherheitsmeldung am 11. August markiert wurden, am 13. Oktober noch auf unsicheren Softwareversionen liefen. Nur etwa 10 % hatten in diesem Zeitraum ein Upgrade durchgeführt, während 108 Knoten nicht mehr als aktiv klassifiziert wurden.
Sicherheitsupdates und deren Auswirkungen
Die Ergebnisse deuten darauf hin, dass Sicherheitsupdates einige Lightning-Betreiber lange nach deren Veröffentlichung erreichen. Die Verzögerungen sind besonders auffällig, da Patches für sechs Schwachstellen, die in den August-Offenlegungen behandelt wurden, seit LND-Version 0.19.0 verfügbar sind, die 446 Tage vor der öffentlichen Warnung veröffentlicht wurde. LND ist eine der Softwareimplementierungen, die zum Betrieb von Knoten im Bitcoin Lightning Network verwendet wird, das Zahlungen außerhalb der Haupttransaktionsschicht der Blockchain verarbeitet.
Software-Upgrade-Wellen
Forschungen von Saurabh Kumar von Bitcoin Data Labs ergaben, dass die größten Software-Upgrade-Wellen des Netzwerks eng mit den Veröffentlichungen von Umbrel, einer Plattform, die Bitcoin-Knotensoftware bündelt, verbunden waren. Die drei größten Wellen umfassten jeweils zwischen 262 und 385 Knoten, wobei mindestens 87 % der teilnehmenden Knoten innerhalb von 48 Stunden nach einer Umbrel-Veröffentlichung aktualisierte Softwarefunktionen übertrugen. Umbrel verteilte diese Versionen jedoch zwischen 19 und 41 Tagen nach den entsprechenden LND-Veröffentlichungen, was eine weitere potenzielle Verzögerung zwischen der Bereitstellung von Fixes durch die Entwickler und dem Erhalt durch die Betreiber über ihre bevorzugten Plattformen einführte.
Einfluss der Softwarevertriebskanäle
Die Assoziation legt nahe, dass Softwarevertriebskanäle erheblichen Einfluss darauf haben können, wie schnell die Zahlungsinfrastruktur von Bitcoin Sicherheitsverbesserungen annimmt. Die Studie konnte nicht identifizieren, welche Plattformen einzelne Knoten verwendeten, was die genaue Rolle automatischer Updates ungelöst ließ. Öffentliche Sicherheitswarnungen erwiesen sich als weniger effektiv bei der Veränderung des Verhaltens der Betreiber. Bei neun LND-Schwachstellen-Offenlegungen fand der Forscher keine statistisch nachweisbare Beschleunigung bei der Abwanderung von Knoten von betroffenen Softwareversionen. Die Ergebnisse schließen kleinere Reaktionen nicht aus, zeigen jedoch, dass den Offenlegungen keine klaren, weit verbreiteten Upgrade-Wellen folgten.
Verzögerungen und ihre Auswirkungen
Die Verzögerungen erstrecken sich auch über Sicherheitsvorfälle hinaus. Knoten, die ältere Software betrieben, als die LND-Versionen 0.19 bis 0.21 verfügbar wurden, benötigten schätzungsweise median 88 Tage, um auf die neueren Versionen zu migrieren. Dennoch ist die potenzielle Exposition ungleich über die Zahlungsinfrastruktur von Lightning verteilt. Bei der August-Offenlegung machten betroffene Softwareversionen 14,9 % der aktiven LND-Knoten aus, jedoch nur 6,4 % ihrer Kanal-Kapazität, ohne eine identifizierte verwaltete Flotte. Diese Diskrepanz deutet darauf hin, dass betroffene Knoten einen relativ kleineren Anteil an Zahlungsl Liquidität kontrollierten.
Forschungsmethodik und Ergebnisse
Der Forscher analysierte 814 tägliche Schnappschüsse des öffentlichen Netzwerkgraphen von Lightning und verwendete beworbene Softwarefunktionen, um die Softwareversionen abzuleiten. Die Methode kann keine genauen Patch-Versionen identifizieren, und Knoten, die ohne neue Ankündigungen aktualisieren, können weiterhin als gefährdet erscheinen. Die tatsächliche Ausnutzbarkeit hängt auch von der Schwachstelle und der Konfiguration des Knotens ab. Kumar veröffentlichte den Code der Studie und aggregierte Daten zusammen mit dem Preprint, was eine weitere Überprüfung der Ergebnisse ermöglicht.
Schlussfolgerung
Die Forschung lässt die Entwickler von Knotensoftware und Plattformverteilern mit einer ungelösten betrieblichen Frage zurück: Wie kann die Zeitspanne zwischen der Veröffentlichung von Sicherheitsupdates und deren Installation im öffentlichen Netzwerk von Lightning auf Wochen oder Monate reduziert werden?