Quarkslab hat das erste öffentliche Drittanbieter-Audit von Bitcoin Core abgeschlossen: Es wurden keine schwerwiegenden Sicherheitslücken festgestellt.

Das Cybersicherheitsunternehmen Quarkslab hat die erste öffentliche Drittanbieter-Sicherheitsprüfung des Bitcoin-Core-Code-Repositorys abgeschlossen. Das Bitcoin-Core-Code-Repository ist die Open Source-Referenzimplementierung, die das Bitcoin-Netzwerk unterstützt und einen Full Node-Client, eine grafische Benutzeroberfläche (GUI) und eine Embedded Wallet enthält.

Laut einer am Mittwoch veröffentlichten Ankündigung wird diese viermonatige Bewertung von der gemeinnützigen Organisation Brink, die die Entwicklung des Open Source Bitcoin-Protokolls unterstützt, finanziert und vom Open Source Technology Improvement Fund (OSTIF) koordiniert. Die Bewertung konzentriert sich auf die Peer-to-Peer-Netzwerkschicht (die Hauptangriffsfläche des Netzwerks) sowie auf verwandte Komponenten, einschließlich des Managements des Speicherpools, des Chain-Status, der Transaktionsvalidierung und der Konsenslogik.

Das Audit wurde im September abgeschlossen und von drei Ingenieuren von Quarkslab in 100 Arbeitstagen durchgeführt, unterstützt von Brink und der Bitcoin-Entwicklungsfirma Chaincode Labs. Vor Beginn der Codeüberprüfung hatten zwei Auditoren ein persönliches Gespräch mit den Ingenieuren von Brink, um sich mit der Architektur und den Entwicklungspraktiken des Bitcoin Core vertraut zu machen.

Dieser Prozess kombiniert manuelle Codeanalyse, dynamisches Testen und fortgeschrittene Fuzzing-Techniken, die aus den bestehenden kontinuierlichen Integrations-Workflows von Bitcoin entlehnt sind. Fuzzing ist eine automatisierte Software-Testtechnik, die versucht, Schwachstellen zu finden, indem sie eine große Menge an unerwarteten, zufälligen oder fehlerhaft formatierten Daten in den Code eingibt.

Brink weist in einem anderen Artikel darauf hin, dass das Ziel dieser Maßnahme nicht die Zertifizierung von Bitcoin Core ist, sondern “aktiv nach Schwachstellen zu suchen, Testmethoden zu verbessern und praktikable Wege zu finden, um das Code-Repository zu stärken”.

Der Bericht von Quarkslab stellt fest, dass keine schwerwiegenden, hochriskanten oder mäßig schwerwiegenden Probleme gefunden wurden. Die Prüfer entdeckten jedoch zwei geringfügige Probleme und gaben 13 informative Empfehlungen ab, aber diese Probleme entsprechen nicht den Sicherheitsanforderungen von Bitcoin Core.

Quarkslab erklärte: „Obwohl keine schwerwiegenden Einflussprobleme festgestellt wurden, wurden das bestehende Fuzzing-Test-Framework sowie neue Frameworks für ungetestete Szenarien wie Chain-Reorganization verbessert.“ OSTIF fügte hinzu: „Obwohl bei diesem Audit keine schwerwiegenden, kritischen oder mittleren Sicherheitsprobleme festgestellt wurden, bietet es wertvolles Feedback, Einsichten, Informationen und Vorschläge zur Verbesserung von Tests für Bitcoin.“ (The Block)