Antbleed: la nuova controversia su Bitcoin spiegata

Ieri è stata rivelata una vulnerabilità del chip per il mining che potrebbe essere utilizzata per spegnere da remoto le macchine per il mining Bitcoin. Poco dopo è stata fornita una correzione da parte del produttore.

Coinvolgendo il controverso produttore di chip per il mining Bitmain, il problema è quello che alcuni chiamano una "backdoor" nel codice che controlla il suo hardware, offrendo all'azienda un modo per spegnere da remoto i miner. Dal momento che il codice,rilasciato in forma anonimaieri sera è vulnerabile agli aggressori, la preoccupazione principale è se, nel peggiore dei casi, potrebbe essere utilizzato in modo improprio.

Il timore è che malintenzionati possano sfruttare la vulnerabilità per disattivare in blocco le apparecchiature per il mining Bitcoin e, poiché Bitmain fornisce al mercato un numero così elevato di macchine, l'impatto potrebbe avere implicazioni catastrofiche per l'ecosistema Bitcoin .

Conosciuta come Antbleed (titolo conferito dal sito web che ha drammatizzato la sua uscita), la vulnerabilità è open source, il che la rende facile da verificare. Prima della rivelazione, un gruppo è stato informato della funzionalità del codice, con alcuni sviluppatori, come il CEO di Satoshi Labs Marek Palatinusverifica indipendenteche la backdoor esiste e che può essere utilizzata per fermare i miner di Bitmain.

Bitmain rapidamenteha rispostocon una correzione che cancella questa parte del suo firmware di mining. Inoltre, il suo team ha affermato che la funzionalità non è mai stata completata e che era destinata ad aiutare i clienti a recuperare i miner rubati, un problema del passato per le aziende del settore.

La dichiarazione recita:

"Non abbiamo mai avuto intenzione di usare questa funzionalità su nessun Antminer senza l'autorizzazione del suo proprietario. È simile alla funzionalità di cancellazione o spegnimento remoto fornita dalla maggior parte dei produttori di smartphone più famosi."

Gran parte del recente fermento nella comunità verte sulla possibilità che la cosiddetta "backdoor" possa essere stata utilizzata per scopi dannosi, ad esempio per bloccare un miner se T rispettava le regole stabilite da Bitmain.

A complicare ulteriormente la confusione c'è il fatto che gli sviluppi Bitcoin sono stati ultimamente altamente politicizzati, con Bitmain spesso al centro del dibattito di lunga data sullo scaling di Bitcoin, opponendosi alle proposte formulate dai membri della comunità Bitcoin CORE . Ad esempio, la vulnerabilità rivelata segue le accuse che il produttore stava sfruttando un vantaggio minerario Secret per aumentare i propri profitti.

In una conversazione con CoinDesk, Peter Rizun, scienziato capo Bitcoin Unlimited, potrebbe aver riassunto al meglio la questione e l'atmosfera circostante:

"Il dramma che si verifica oggi sui social media riguarda la questione se esista una falla nella sicurezza che consentirebbe di sfruttare questa funzionalità di controllo remoto per scopi nefasti".

Dettagli del codice

Sembra tuttavia che ci siano altri motivi per preoccuparsi della backdoor.

Poiché può essere sfruttato da malintenzionati esterni all'azienda, i chip di mining sono ora visti come un rischio per la sicurezza della rete. Ogni ONE -undici minuti, secondo l'open source toppaintrodotte il 12 luglio 2016, le macchine inviano chiamate a un server Bitmain.

L'idea è che il produttore del mining possa eseguire la scansione per trovare informazioni identificative sul chip di mining, tra cui il numero di serie e l'indirizzo IP.

Ma, probabilmente, la preoccupazione più grande è che il codice T è limitato all'uso da parte di determinate persone o aziende, quindi può essere sfruttato da qualsiasi attacco man-in-the-middle o proveniente dallo stesso server DNS.

"Anche se Bitmain non fosse dannoso, l'API non è autenticata e consentirebbe a qualsiasi MITM, DNS o dirottamento di dominio di chiudere gli Antminer a livello globale", si legge sul sito web di Antbleed, evidenziando ulteriormente le preoccupazioni circa il potenziale uso improprio a livello tecnico o politico.

Vulnerabilità o backdoor "dannosa"?

Se l'intento fosse o meno malevolo sembra costituire la maggior parte del dibattito e, finora, pare che il sentimento si sia discostato dalle linee del dibattito sulla scalabilità.

Tuttavia, alcuni si sono allontanati dalle cosiddette linee del partito.

"È stato sconsiderato da parte loro lasciare una funzionalità incompleta nel codice, poiché ciò rappresenta un problema di sicurezza importante", ha affermato Henry Brade, CEO del fornitore di servizi Bitcoin Prasos, un ex difensore delle proposte di scalabilità di Bitcoin Core.

"Tuttavia, in base all'affermazione, non è corretto definire 'Antbleed' di natura dannosa. È semplicemente un grave problema di sicurezza."

L'operatore di F2pool Wang Chun ha inoltre osservato che T è particolarmente preoccupato che i minatori del suo pool possano cadere vittime della manipolazione di Bitmain. Ha osservato in una conversazione con CoinDesk che T sembra che la società l'abbia mai usato per chiudere i minatori.

"Ci riuscivano da molto tempo, ma T' hanno fatto", ha affermato.

Guy Corem, ex CEO del Maker israeliano di chip per il mining Spondoolies-Tech, ha attribuito la controversia a "incompetenza" e "negligenza", piuttosto che a cattive intenzioni.

"Ha senso che volessero sviluppare tale funzionalità e ha anche senso che T l'abbiano completata e abbandonata", ha aggiunto. Inoltre, ha citato Spondoolies-Tech's problemi propri del passatocon attrezzature minerarie rubate.

Tuttavia, alcuni nella comunità sonoscettico DiLa risposta di Bitmain.

"La negazione di molte persone è incredibile. 'Antbleed' non è un bug o un errore. Lo scopo del codice è chiaro: chiudere il miner su flag remoto", ha twittato Palatinus.

Informazioni pubbliche?

Altri hanno espresso preoccupazione circa la possibilità che questa vulnerabilità venga resa pubblica, poiché in tal caso soggetti esterni potrebbero trarre vantaggio dal vettore di attacco.

Matt Corallo, collaboratore di Bitcoin CORE, ha sostenuto che i proprietari di questi miner Bitcoin dovevano essere a conoscenza della potenziale vulnerabilità per poterla risolvere.

"Il problema è che è già integrato in una TON di hardware distribuito", ha affermato, aggiungendo:

"È stato segnalato a Bitmain tramite quel bug report mesi fa e i loro clienti devono saperlo per proteggere le loro operazioni da potenziali [attacchi man-in-the-middle]."

Il problema è stato segnalato per la prima volta a Bitmain su Githubhttps://github.com/bitmaintech/bmminer/issues/7 nel settembre 2016.

ONE domanda è quanto sia diffusa questa pratica in Bitcoin. Secret porte sul retro sembrano essere all'ordine del giorno nel mondo Tecnologie , spesso attirando critiche attente alla sicurezza quando vengono scoperte. Altri produttori di hardware hanno la stessa vulnerabilità? Almeno due produttori di mining affermano di T.

"Il nostro hardware T ha tali problemi, T offriamo aggiornamenti remoti per il firmware: è una decisione del cliente se aggiornarli o meno", ha affermato Alex Petrov, CIO della startup blockchain Bitfury Group.

"Il mio miner non ha ASICBoost o backdoor", ha detto a CoinDesk Jack Liao, CEO di LightningAsic mining.

Insieme ai dettagli sulla backdoor, coloro che l'hanno individuata hanno rilasciato una patch che la risolve con una sola riga di codice.

Centralizzazione del mining

Tuttavia, persistono preoccupazioni sul fatto che la vulnerabilità tradisca una debolezza della rete Bitcoin , ovvero la mancanza di produttori di chip per il mining.

Non sono disponibili dati certi su quanti miner utilizzino questo software, ma Bitmain è ONE dei maggiori produttori di chip del settore, con stime più audaci che indicano che produce il 70% di tutti i chip per il mining.

Il fatto che la backdoor possa essere utilizzata per colpire uno qualsiasi di questi chip è, come prevedibile, allarmante per i sostenitori di una rete "decentralizzata" e aperta alla concorrenza, che consenta a diversi attori di intervenire.

Per ora, l'impatto sembra essere che Bitmain adotterà misure per esaminare il resto della sua base di codice al fine di individuare altre vulnerabilità.

"La controversia attorno a questo codice ha portato la nostra attenzione a migliorare la progettazione per affrontare le vulnerabilità segnalate di recente dalla comunità", si legge nella dichiarazione.

Altri ancora si lamentano dello stato del dramma e del dibattito attorno alla questione, notando la rapidità con cui è stata politicizzata.

Rizun ha concluso:

"Tutto sommato è solo un altro giorno per Bitcoin."

Immagine tramiteSito web AntBleed