Le logiciel de 'construction' de Bitcoin vient d'obtenir un peu plus de confiance


Qu'on le veuille ou non, il y a un peu de confiance dans le processus d'installation ou de "compilation" du logiciel au cœur de Bitcoin – mais un changement récent de code pourrait aider.

Avec le logiciel de conteneur Guix, le code a été récemment fusionné avec Bitcoin Core, l’implémentation la plus répandue de Bitcoin, ce qui signifie qu’il est maintenant prêt à être testé par de vrais utilisateurs. Le changement pourrait aider à limiter la confiance dans le code téléchargé à partir du système d'exploitation Ubuntu pendant le processus de construction.

«C’est un sacré voyage, mais le support de #Guix pour les versions de Bitcoin Core déterminantes et amorçables a été optimisé», a déclaré le principal développeur du projet, Carl Dong, le mois dernier.

Certaines protections sont déjà intégrées à ce processus de construction. Lors du téléchargement de Bitcoin Core à partir de Bitcoin.org, de nombreux développeurs utilisent un processus appelé Gitian pour créer des versions dites "reproductibles", ce qui permet aux développeurs de vérifier à nouveau que les fichiers binaires distribués pour eux sont la version correcte qu'ils veulent télécharger – pas une réplique avec une porte secrète secrète intégrée au logiciel, par exemple, pour voler des bitcoins.

Mais Dong affirme que la sécurité du processus de construction n’est pas suffisante, comme il l’a détaillé lors de la conférence Breaking Bitcoin à Amsterdam.

Grâce à ce processus gitien, le code est transformé en quelque chose qu'un ordinateur comprendrait. Grâce à cela, les utilisateurs pourraient ne pas remarquer qu'ils téléchargent du code à partir du système d'exploitation Ubuntu et leur font confiance.

Dong a déclaré à CoinDesk:

«Actuellement, Ubuntu (ou toute autre personne ayant accès aux clés de signature d’Ubuntu) influence à la fois la disponibilité et la sécurité des fichiers binaires de publication de Bitcoin Core. À long terme, faire confiance à des téléchargements binaires opaques et non auditables de tiers tels que Ubuntu semble être une recette pour un désastre. "

Désillusionné pas plus

De ce fait, lorsqu’il a parcouru l’ensemble des «constructions reproductibles» il ya quelques années, Dong a confié à CoinDesk qu’il était devenu «désillusionné» du processus de construction de Bitcoin.

Il a découvert qu'il n'était pas le seul et, une fois qu'il a rejoint Chaincode Labs, une plaque tournante du développement du protocole bitcoin à New York, le projet a pris son envol, obtenant l'aide des contributeurs de Bitcoin Core, Russ Yanofsky et Cory Fields, parmi d'autres contributeurs actifs. au logiciel Bitcoin Core.

Il a finalement décidé que la solution consistait à minimiser autant que possible la confiance dans ces fichiers binaires. Et pour faciliter le suivi de la provenance exacte de ces fichiers binaires.

«Lorsque nous utilisons Guix pour construire notre chaîne d’outils, nous pouvons vérifier la manière dont chaque outil de notre chaîne a été construit et les amorcer facilement à partir d’un ensemble minimal de fichiers binaires de confiance», a déclaré Dong dans son exposé sur Breaking Bitcoin.

Cela ne veut pas dire que la confiance soit complètement éradiquée, a-t-il ajouté, "malheureusement, il est assez difficile de retirer complètement les tiers de confiance du processus de création", mais a-t-il expliqué.

«Ce que nous réalisons, c’est une audibilité bien meilleure de notre chaîne d’outils fournie par des tiers. L’utilisation de Guix dans ce projet nous permet d’avoir une visibilité sans précédent sur notre ensemble de fichiers binaires de confiance et sur la façon dont nous en tirons l’environnement de construction de Bitcoin Core », at-il poursuivi.

Et après

Pour l'instant, cette modification est disponible pour les utilisateurs du système d'exploitation Linux. Dong et d'autres sont en train de faire fonctionner le changement pour les utilisateurs Windows et Mac.

«C’était une première étape importante et devrait constituer une bonne alternative au bâtiment Gitian. Beaucoup d'améliorations liées à Guix sont déjà en cours. Je suis optimiste: il jouera un rôle dans la version 0.19.0 », explique Michael Ford, contributeur à Bitcoin Core, qui était récemment le responsable de la maintenance du logiciel.

Sans compter que Dong envisage de rendre ces versions reproductibles dans le temps.

Si cela fonctionne, cela signifie que les futurs développeurs de Bitcoin Core seront en mesure de construire les versions précédentes de Bitcoin Core et de produire des fichiers binaires identiques, bit-à-bit, à la date de publication. Cette reproductibilité dans le temps nous permet de recréer le comportement exact des versions précédentes, ce qui est précieux pour les tests et le débogage," il a dit.

Et même s’il s’agit d’un changement plutôt technique qui pourrait sembler mystérieux, les développeurs font l’éloge de Dong pour son travail visant à renforcer la sécurité de Bitcoin.

«Une telle innovation est souvent invisible pour les consommateurs et les investisseurs, mais c'est sans aucun doute la raison pour laquelle le bitcoin est si avancé», a déclaré David Vorick, cofondateur et développeur principal de Sia.

via Shutterstock