21 Ekim'de Bitcoin Data Labs'tan Saurabh Kumar tarafından yayınlanan bir çalışma, Ağustos güvenlik duyurusunda savunmasız olduğu belirtilen Bitcoin Lightning düğümlerinin çoğunun hâlâ yamaları uygulamadığını ortaya koyuyor. 11 Ağustos'ta işaretlenen 550 halka açık LND düğümünden %71'i, 13 Ekim itibarıyla hâlâ etkilenen yazılım sürümlerinde çalışıyordu ve bu dönemde yalnızca %10'u güncelleme yaptı. Araştırma, bir yıldan uzun süredir mevcut olan düzeltmelere rağmen Lightning Network ödeme altyapısının güvenliğinin sağlanmasında gecikmelerin sürdüğünü vurguluyor.

BTC / USD
Kaynak: CoinGecko. Fiyatlar gösterge niteliğindedir.

Yama benimsemesi, uzun süredir mevcut olan düzeltmelere rağmen düşük kalıyor

Ağustos duyurusu, LND sürüm 0.19.0'da (kamu uyarısından 446 gün önce yayınlanmış) düzeltilen altı güvenlik açığını vurguladı. Ancak işaretlenen düğümlerin üçte ikisi, Ekim ayına kadar savunmasız kodu çalıştırmaya devam etti. Kumar’ın, halka açık ağ grafiğinin 814 günlük anlık görüntüsüne yaptığı analiz, düğümlerin geliştiricilerin gerisinde kaldığını, LND 0.19 ile 0.21 arasındaki sürümler için medyan geçiş süresinin 88 gün olduğunu gösteriyor.

Dağıtım kanalları yükseltme zamanlamasını belirliyor

Çalışma, en büyük yükseltme dalgalarının, Bitcoin düğüm yazılımını paketleyen popüler bir platform olan Umbrel'in sürümleriyle aynı zamanda gerçekleştiğini buldu. Her dalga 262‑385 düğümü kapsıyor ve bu düğümlerin %87'si Umbrel sürümünden 48 saat içinde güncellenmiş yazılım özelliklerini yayınladı. Ancak Umbrel, yeni LND sürümlerini üst akış sürümünden 19‑41 gün sonra dağıttığı için yamaların kullanılabilirliği ile son kullanıcı düğüm operatörlerinin sistemlerine uygulanması arasında ek bir gecikme oluşuyor.

Güvenlik uyarıları tek başına yükseltmeleri tetiklemedi

Dokuz LND güvenlik açığı duyurusu boyunca Kumar, kamu uyarılarından sonra düğümlerin etkilenmiş yazılım satırlarından ayrılma hızında istatistiksel olarak anlamlı bir artış gözlemlemedi. Daha küçük, yerel yanıtların tamamen dışlanamayacağı kabul edilse de, veriler uyarıların tek başına geniş çaplı yama uygulamasını tetiklemek için yetersiz olduğunu gösteriyor.

İleride neler izlenmeli

Gelecek araştırmalar, düğüm operatörlerinin Umbrel gibi platformları mı yoksa manuel güncellemeleri mi tercih ettiğini ve otomatik güncelleme mekanizmalarının bu boşluğu kapatıp kapatamayacağını belirlemeli. Yaklaşan Lightning Network sürümlerini ve dağıtım uygulamalarındaki değişiklikleri izlemek, ekosistemin güvenlik açıklarına yanıtını iyileştirip iyileştiremeyeceğini değerlendirmek açısından kritik olacak.

Kaynaklar