一组比特币核心开发人员推出了一项全面的安全披露政策，以解决过去在公布安全关键漏洞方面的缺陷。
这项新政策旨在建立报告和披露漏洞的标准化流程，从而提高比特币生态系统的透明度和安全性。
什么是安全披露？
安全披露是安全研究人员或道德黑客向受影响组织报告他们在软件或系统中发现的漏洞的过程。目标是让组织能够在这些漏洞被恶意行为者利用之前解决它们。此过程通常包括发现漏洞、秘密报告漏洞、验证漏洞的存在、开发修复程序，最后公开披露漏洞以及详细信息和缓解建议。
用户应该担心吗？
最新的比特币核心安全披露解决了各种不同严重程度的漏洞。主要问题包括可能导致服务中断的多个拒绝服务 (DoS) 漏洞、MINIUPnPC 库中的远程代码执行 (RCE) 缺陷、可能导致审查或不当孤立交易管理的交易处理错误，以及导致网络分裂的缓冲区爆炸和时间戳溢出等网络漏洞。
目前，我们认为这些漏洞不会对比特币网络造成重大风险。无论如何，我们强烈建议用户确保其软件是最新版本。
有关详细信息，请参阅 GitHub 上的提交：比特币核心安全披露。
改进披露流程
BitCoin Core 的新政策将漏洞分为四个严重程度：低、中、高和严重。
- 低严重性：难以利用或影响极小的漏洞。修复发布两周后，这些漏洞将被披露。
- 中度和高度严重性：影响重大或利用难度适中的漏洞。这些漏洞将在最后一个受影响版本停产 (EOL) 一年后披露。
- 严重程度：威胁整个网络完整性的漏洞，例如通货膨胀或硬币盗窃漏洞，由于其严重性，将采用临时程序处理。
该政策旨在提供一致的跟踪和标准化的披露流程，鼓励负责任的报告并允许社区及时解决问题。
比特币 CVE 披露的历史
多年来，比特币经历了几个值得注意的安全问题，即 CVE（常见漏洞和暴露）。这些事件凸显了警惕的安全实践和及时更新的重要性。以下是一些关键示例：
CVE-2012-2459：此严重漏洞可能导致网络问题，因为攻击者可以创建看似有效的无效区块，从而可能暂时分裂比特币网络。该漏洞已在比特币核心版本 0.6.1 中修复，并促使比特币安全协议进一步改进。
CVE-2018-17144：一个严重漏洞，可能允许攻击者创建额外的比特币，违反固定供应原则。该问题于 2018 年 9 月发现并修复。用户需要更新其软件以避免潜在的攻击
此外，比特币社区还讨论了其他各种尚未实施的漏洞和潜在的修复。
CVE-2013-2292：通过创建需要很长时间才能验证的区块，攻击者可以显著降低网络速度。
CVE-2017-12842：此漏洞可欺骗轻量级比特币钱包，使其误以为已收到付款，但实际上并未收到。这对 SPV（简化付款验证）客户而言十分危险。
围绕这些漏洞的讨论强调了对比特币协议进行协调和社区支持的更新的持续需求。围绕共识清理软分叉这一想法的持续研究旨在以统一和有效的方式解决潜在的漏洞，确保比特币网络的持续稳健性和安全性。
维护软件安全是一个动态过程，需要持续警惕和更新。这与比特币僵化的更广泛争论相交叉——核心协议保持不变以保持稳定性和信任。虽然有些人主张进行最小程度的更改以避免风险，但另一些人认为偶尔进行更新是必要的，以增强安全性和功能性。
比特币核心的这一新披露政策朝着平衡这些观点迈出了一步，确保任何必要的更新都得到良好的沟通和负责任的管理。
