Core Lightning, kritik açıklar sonrası operatörlere güncelleme çağrısı yaptı

Blockstream tarafından geliştirilen Lightning Network uygulaması Core Lightning, kullanıcılara yayımlanacak yeni sürüme geçmeleri ya da düğümlerini çevrim dışı bırakmaları yönünde uyarıda bulundu. Ekip, 10 günlük süre içinde birden fazla kaynaktan yapay zeka tarafından üretilmiş güvenlik açığı bildirimleri aldığını açıkladı.

Güvenlik sürecinde yeni yol haritası

Geliştiriciler ve açık kaynak katkıcıları, iletilen raporların doğrulanması için çalışma yürütüyor. İlk plan, düzeltmeleri içeren ara sürümün birkaç gün içinde yayımlanmasıydı. Ancak daha sonra müdahale yöntemi değişti. Ekip, imzalı ikili dosyaları kullanıma sunacağını, güvenlik açıklarına ilişkin ayrıntıları ise iki hafta boyunca gizli tutacağını bildirdi.

Core Lightning bakım ekibi, ambargo süresi boyunca herkesin güncellemeyi yüklemesini güçlü biçimde tavsiye ettiklerini kaydetti.

Christian Decker, düzeltme içeren ikili dosyaların yayımlanacağını, buna karşılık kaynak kod yamalarının 14 gün boyunca paylaşılmayacağını söyledi. Bu yaklaşımın, saldırganların düzeltmeleri tersine mühendislikle inceleyip istismar geliştirmesini zorlaştırmayı amaçladığı belirtildi.

Mini sözlük: İmzalı ikili dosya, geliştirici tarafından doğrulanmış ve üzerinde değişiklik yapılmadığı kriptografik olarak kontrol edilebilen yazılım paketidir. Ambargo ise güvenlik açığının ayrıntılarının, kullanıcıların güncelleme yapabilmesi için belirli süre kamuoyundan saklanması anlamına gelir.

Operatörlere kapatma ve yeniden başlatma uyarısı

Güncellemeyi hemen yüklemeyecek operatörlere düğümlerini yeniden başlatmaları tavsiye edildi. Ekip, güvenlik müdahalesi süresince önceki sürümlerin, buna 26.04 ve daha eski dağıtımların da dahil olduğu, desteklenmeyeceğini duyurdu.

Cashu ekosistemiyle bağlantılı geliştirici Calle, durumu kritik bir güvenlik açığı olarak niteledi ve operatörlere Core Lightning düğümlerini kapatmaları çağrısında bulundu. Buna karşın açığın tam niteliği ve etkisinin düzeyi henüz açıklanmadı.

Calle, kullanıcıların acil durumu önce Discord mesajı ekran görüntüsünden öğrenmek zorunda kalmasını sorguladı ve resmi uyarının doğrudan Core Lightning hesabından gelmesi gerektiğini vurguladı.

Resmi açıklama gecikmeli geldi

Toplulukta iletişim biçimine yönelik eleştirilerin ardından proje ekibi, operatörlere dönük resmi uyarıyı daha sonra yayımladı. Böylece ilk aşamada sınırlı kanallardan dolaşıma giren bilgilendirme, resmi duyuruyla doğrulanmış oldu.

Core Lightning, Bitcoin Lightning Network üzerinde çalışan başlıca yazılım istemcilerinden biri olarak biliniyor. Projenin kamuya açık en güncel kararlı sürümü temmuzda yayımlanan v26.06.6 olarak listeleniyor. Bir sonraki ana sürüm olan v26.09 için eylül takvimi öngörülüyor.