Les correctifs de sécurité de Bitcoin Lightning, vieux d'un an, manquent toujours à 71 % des nœuds concernés

Vulnérabilités des Nœuds Bitcoin Lightning

Près de trois quarts des nœuds publics de Bitcoin Lightning identifiés comme exposés en août sont restés sur des versions logicielles vulnérables en octobre. Une étude publiée le 21 octobre a révélé que 71 % d'un groupe de 550 nœuds publics LND signalés lors d'une divulgation de sécurité du 11 août fonctionnaient toujours sur des versions logicielles affectées au 13 octobre.

Mise à Jour des Nœuds

Environ 10 % seulement avaient effectué une mise à jour durant cette période, tandis que 108 nœuds n'étaient plus classés comme actifs. Ces résultats suggèrent que les correctifs de sécurité parviennent à certains opérateurs Lightning bien après leur publication.

Les retards sont d'autant plus préoccupants que des correctifs pour six vulnérabilités couvertes par les divulgations d'août étaient disponibles depuis la version LND 0.19.0, publiée 446 jours avant l'avertissement public.

Impact des Plateformes de Distribution

LND est l'une des implémentations logicielles utilisées pour faire fonctionner des nœuds sur le réseau Lightning de Bitcoin, qui traite les paiements en dehors de la couche principale de transactions de la blockchain. Une recherche menée par Saurabh Kumar de Bitcoin Data Labs a révélé que les plus grandes vagues de mise à niveau logicielle du réseau suivaient de près les publications d'Umbrel, une plateforme qui regroupe les logiciels de nœuds Bitcoin.

Les trois plus grandes vagues impliquaient entre 262 et 385 nœuds chacune, avec au moins 87 % des nœuds participants diffusant des fonctionnalités logicielles mises à jour dans les 48 heures suivant une publication d'Umbrel. Cependant, Umbrel a distribué ces versions entre 19 et 41 jours après les publications LND correspondantes, introduisant un autre retard potentiel.

Réactions aux Avertissements de Sécurité

Cette situation suggère que les canaux de distribution de logiciels peuvent influencer de manière significative la rapidité avec laquelle l'infrastructure de paiement de Bitcoin adopte les améliorations de sécurité. L'étude n'a pas pu identifier quelles plateformes étaient utilisées par les nœuds individuels, laissant le rôle précis des mises à jour automatiques non résolu.

Les avertissements de sécurité publics semblent avoir eu peu d'impact sur le comportement des opérateurs. À travers neuf divulgations de vulnérabilités LND, le chercheur n'a trouvé aucune accélération statistiquement significative dans le passage des nœuds à des versions logicielles non affectées.

Bien que les résultats n'excluent pas des réponses plus modestes, ils montrent que les divulgations n'ont pas été suivies de vagues de mises à niveau claires et généralisées.

Durée de Migration vers de Nouvelles Versions

Les retards s'étendent également au-delà des incidents de sécurité. Les nœuds fonctionnant avec des logiciels plus anciens lorsque les versions LND 0.19 à 0.21 sont devenues disponibles ont mis en moyenne 88 jours pour migrer vers les nouvelles versions.

Néanmoins, l'exposition potentielle est inégalement répartie à travers l'infrastructure de paiement de Lightning. Lors de la divulgation d'août, les versions affectées représentaient 14,9 % des nœuds LND actifs, mais seulement 6,4 % de leur capacité de canal, excluant une flotte gérée identifiée.

Conclusion et Perspectives

Cette disparité suggère que les nœuds affectés contrôlaient une part relativement plus petite de la liquidité de paiement. Le chercheur a analysé 814 instantanés quotidiens du graphique du réseau public de Lightning, utilisant les fonctionnalités logicielles annoncées pour inférer les versions. La méthode ne peut pas identifier les versions de correctifs exactes, et les nœuds qui se mettent à jour sans diffuser de nouvelles annonces peuvent continuer à apparaître comme exposés.

L'exploitabilité réelle dépend également de la vulnérabilité et de la configuration du nœud. Kumar a publié le code de l'étude et les données agrégées aux côtés du préprint, permettant un examen plus approfondi des résultats. Cette recherche laisse les développeurs de logiciels de nœuds et les distributeurs de plateformes face à une question opérationnelle non résolue : comment réduire les semaines ou les mois entre la publication des correctifs de sécurité et leur installation sur le réseau public de Lightning.