Quarkslab a terminé le premier audit tiers public de Bitcoin Core : aucune vulnérabilité majeure n'a été trouvée.

La société de cybersécurité Quarkslab a terminé le premier audit de sécurité tiers public du code source de Bitcoin. Le code source de Bitcoin est une référence open source qui soutient le réseau Bitcoin, comprenant un client de nœud complet, une interface graphique (GUI) et un portefeuille intégré.

Selon l'annonce publiée mercredi, cette évaluation de quatre mois est financée par l'organisation à but non lucratif Brink, qui soutient le développement du protocole Bitcoin Open Source, et est coordonnée par le fonds d'amélioration technologique Open Source (OSTIF). L'évaluation met l'accent sur la couche de réseau pair-à-pair (la principale surface d'attaque du réseau) ainsi que sur les composants associés, y compris la gestion des pools de mémoire, l'état de la chaîne, la validation des transactions et la logique de consensus.

L'audit a été réalisé en septembre et a été effectué par trois ingénieurs de Quarkslab sur une période de 100 jours ouvrables, avec le soutien technique de Brink et de la société de développement Bitcoin Chaincode Labs. Avant le début de l'examen du code, deux auditeurs ont eu des échanges en face à face avec les ingénieurs de Brink pour se familiariser avec l'architecture et les pratiques de développement du cœur de Bitcoin.

Ce processus combine l'analyse de code manuelle, les tests dynamiques et des techniques avancées de test de fuzz inspirées des workflows d'intégration continue existants de Bitcoin. Le test de fuzz est une technique de test logiciel automatisée qui tente de découvrir des vulnérabilités en injectant dans le code une grande quantité de données inattendues, aléatoires ou mal formatées.

Brink a souligné dans un autre article que l'objectif de cette démarche n'est pas de certifier Bitcoin Core, mais de “chercher activement des vulnérabilités, d'améliorer les méthodes de test et de trouver des moyens pratiques pour renforcer la base de code”.

Le rapport de Quarkslab indique qu'aucun problème grave, à haut risque ou de gravité moyenne n'a été trouvé. Les auditeurs ont effectivement identifié deux problèmes à faible risque et ont fourni 13 recommandations d'ordre informatif, mais ces problèmes ne répondent à aucun des critères de classification des vulnérabilités de sécurité de Bitcoin Core.

Quarkslab a déclaré : “Bien qu'aucun problème d'impact majeur n'ait été découvert, les cadres de tests de fuzzing existants ainsi que les nouveaux cadres pour couvrir des scénarios non testés comme la reconstitution de chaînes ont tous été améliorés.” OSTIF a ajouté : “Bien que cet audit n'ait révélé aucun problème ayant un impact significatif, élevé ou moyen sur la sécurité, il a fourni des retours d'expérience, des insights, des informations et des suggestions d'amélioration des tests précieux pour Bitcoin.” (The Block)