Безопасность Bitcoin Lightning: 71% уязвимых узлов по-прежнему не обновлены

Уязвимости в Bitcoin Lightning

Почти три четверти публичных узлов Bitcoin Lightning, идентифицированных как уязвимые в августе, по-прежнему работают на затронутых версиях программного обеспечения в октябре. Исследование, проведенное 21 октября, показало, что 71% из 550 публичных узлов LND, отмеченных во время раскрытия информации о безопасности 11 августа, по состоянию на 13 октября все еще использовали уязвимые версии программного обеспечения.

Обновления и задержки

Лишь около 10% узлов обновились за этот период, в то время как 108 узлов больше не классифицировались как активные. Эти результаты указывают на то, что исправления безопасности достигают некоторых операторов Lightning значительно позже их даты выпуска. Задержки особенно заметны, поскольку патчи для шести уязвимостей, упомянутых в августовских раскрытиях, были доступны с версии LND 0.19.0, выпущенной за 446 дней до публичного предупреждения.

Исследование и его выводы

LND является одной из программных реализаций, используемых для работы узлов в сети Bitcoin Lightning, которая обрабатывает платежи вне основного слоя транзакций блокчейна. Исследование Сураба Кумара из Bitcoin Data Labs показало, что крупнейшие волны обновлений программного обеспечения сети тесно следовали за релизами Umbrel, платформы, которая упаковывает программное обеспечение узлов Bitcoin.

Три крупнейшие волны включали от 262 до 385 узлов каждая, при этом как минимум 87% участвующих узлов транслировали обновленные функции программного обеспечения в течение 48 часов после релиза Umbrel.

Однако Umbrel распределял эти версии между 19 и 41 днями после соответствующих релизов LND, что вводит еще одну потенциальную задержку между тем, как разработчики делают исправления доступными, и тем, как операторы получают их через свои предпочтительные платформы.

Влияние на безопасность

Ассоциация предполагает, что каналы распространения программного обеспечения могут значительно влиять на скорость, с которой инфраструктура платежей Bitcoin принимает улучшения безопасности. Исследование не смогло определить, какие платформы использовали отдельные узлы, оставляя неразрешенным вопрос о роли автоматических обновлений.

Публичные предупреждения о безопасности оказались менее эффективными в изменении поведения операторов. По девяти раскрытиям уязвимостей LND исследователь не обнаружил статистически значимого ускорения в переходе узлов от уязвимых версий программного обеспечения. Результаты не исключают меньших реакций, но показывают, что раскрытия не сопровождались четкими, широкими всплесками обновлений.

Долгосрочные последствия

Задержки также выходят за рамки инцидентов безопасности. Узлы, работающие на старом программном обеспечении, когда версии LND 0.19 по 0.21 стали доступны, в среднем потребовали 88 дней для перехода на новые версии. Тем не менее, потенциальная уязвимость неравномерно распределена по инфраструктуре платежей Lightning.

На момент августовского раскрытия затронутые версии программного обеспечения составляли 14,9% активных узлов LND, но только 6,4% их каналов емкости, исключая идентифицированный управляемый флот. Эта разница предполагает, что затронутые узлы контролировали относительно меньшую долю платежной ликвидности.

Заключение

Исследователь проанализировал 814 ежедневных снимков публичной сети Lightning, используя рекламируемые функции программного обеспечения для определения версий релизов. Метод не может определить точные версии патчей, и узлы, которые обновляются без трансляции новых объявлений, могут продолжать выглядеть уязвимыми. Фактическая возможность эксплуатации также зависит от уязвимости и конфигурации узла.

Кумар опубликовал код исследования и агрегированные данные вместе с препринтом, что позволяет провести дальнейшую проверку результатов. Исследование оставляет разработчиков программного обеспечения узлов и дистрибьюторов платформ перед неразрешенным операционным вопросом: как сократить недели или месяцы между выпуском исправлений безопасности и их установкой в публичной сети Lightning.