Quarkslab completa la primera auditoría pública de terceros de Bitcoin Core: no se encontraron vulnerabilidades importantes.

La empresa de ciberseguridad Quarkslab ha completado la primera auditoría de seguridad pública de terceros del código base de Bitcoin. El código base de Bitcoin es la implementación de referencia de código abierto que soporta la red Bitcoin, e incluye un cliente de nodo completo, una interfaz gráfica de usuario (GUI) y una billetera embebida.

Según el anuncio publicado el miércoles, esta evaluación de cuatro meses fue financiada por la organización sin fines de lucro Brink, que apoya el desarrollo del protocolo de Bitcoin de código abierto, y coordinada por el fondo de mejora de tecnología de código abierto (OSTIF). La evaluación se centra en la capa de red punto a punto (la principal superficie de ataque de la red) y los componentes relacionados, incluidos la gestión de la memoria, el estado de la cadena, la verificación de transacciones y la lógica de consenso.

La auditoría se completó en septiembre, realizada por tres ingenieros de Quarkslab y tomó 100 días laborables, con el apoyo técnico de Brink y la empresa de desarrollo de Bitcoin Chaincode Labs. Antes de que comenzara la revisión del código, dos de los auditores se reunieron cara a cara con los ingenieros de Brink para familiarizarse con la arquitectura y las prácticas de desarrollo del núcleo de Bitcoin.

Este proceso combina el análisis de código manual, pruebas dinámicas y técnicas avanzadas de pruebas de fuzz tomadas del flujo de trabajo de integración continua existente de Bitcoin. Las pruebas de fuzz son una técnica de prueba de software automatizada que intenta encontrar vulnerabilidades al introducir grandes cantidades de datos inesperados, aleatorios o mal formateados en el código.

Brink en otro artículo señala que el objetivo de esta medida no es certificar Bitcoin Core, sino “buscar activamente vulnerabilidades, mejorar los métodos de prueba y encontrar formas prácticas de fortalecer el código”.

Quarkslab informa que no se han encontrado problemas graves, de alto riesgo o de gravedad media. Los auditores sí encontraron dos problemas de bajo riesgo y proporcionaron 13 recomendaciones informativas, pero ninguno de estos problemas cumple con los estándares de clasificación de vulnerabilidades de seguridad de Bitcoin Core.

Quarkslab declaró: “Aunque no se encontraron problemas de impacto significativo, tanto el marco de pruebas de fuzz existente como el nuevo marco para cubrir escenarios no probados como la reestructuración de la cadena han mejorado.” OSTIF agregó: “Aunque esta auditoría no encontró ningún problema de impacto significativo, alto riesgo o medio en términos de seguridad, proporcionó valvaluable retroalimentación, ideas, información y recomendaciones para mejorar las pruebas para Bitcoin.” (The Block)