Signierte Merge-Commits stellen sicher, dass bei Bitcoin Core nur Code übernommen wird, den freiwillige Maintainer mit ihrem Schlüssel freigegeben haben. Der Artikel erklärt, warum das Projekt GitHub als Plattform bewusst nicht vertraut.
Signierte Merge-Commits im Bitcoin Core Ablauf
Signierte Merge-Commits sind der Punkt, an dem bei Bitcoin Core aus einem Vorschlag tatsächlicher Code wird. Nur wenige freiwillige Entwickler, die Maintainer, dürfen geprüfte Änderungen in das Hauptprojekt übernehmen. Jede dieser Freigaben versehen sie mit einer kryptografischen Signatur. So lässt sich später nachweisen, wer eine Änderung genehmigt hat.
Der Ablauf beginnt mit einem Pull Request, den jeder einreichen kann. Andere Entwickler prüfen den Code öffentlich, testen ihn und kommentieren ihn. Erst bei ausreichender Zustimmung führt ein Maintainer den Merge durch. Die Rolle ist also eher Verwaltung als Befehlsgewalt.
Warum GitHub kein Vertrauensanker ist
Bitcoin Core liegt auf GitHub, doch die Plattform gilt im Projekt nicht als vertrauenswürdig. Eine beliebige Anzahl an GitHub-Mitarbeitern verfügt über administrative Rechte und könnte diese theoretisch ausnutzen. Ein Angreifer bei GitHub könnte zudem versuchen, Zugangsschlüssel eines Bitcoin Core Entwicklers zu stehlen. Ein gekapertes Konto allein darf deshalb nie reichen, um Code einzuschleusen.
Die Antwort sind PGP-Schlüssel, die außerhalb von GitHub liegen. Eine öffentliche Liste vertrauenswürdiger Schlüssel und ein Prüfskript im Repository erlauben jedem, die Signatur jedes Merge-Commits nachzurechnen. Die Projektbeschreibung von Bitcoin Core zeigt, wie offen die Entwicklung organisiert ist. Vollständigen Schutz bietet das nicht: Ein gestohlener PGP-Schlüssel fällt womöglich erst auf, wenn sein Besitzer den Diebstahl meldet.
Signierte Merge-Commits als Prinzip
Signierte Merge-Commits verlagern Vertrauen von einer Firma auf überprüfbare Mathematik. Nicht GitHub entscheidet, welcher Code gültig ist, sondern die Signatur eines bekannten Schlüssels. Wer zweifelt, prüft selbst, statt einer Plattform zu glauben.
Damit sichern signierte Merge-Commits die Schnittstelle zwischen offener Diskussion und tatsächlich übernommenem Code ab. Die Österreichische Schule liefert dafür eine passende Deutung: Macht konzentriert sich dort, wo Kontrolle unüberprüfbar bleibt. Gute Ordnungen begrenzen diese Macht durch Regeln, die jeder Beteiligte selbst kontrollieren kann. Saifedean Ammous beschreibt Bitcoin als Geld, dessen Regeln sich nicht durch eine zentrale Autorität verändern lassen.
Bitcoin überträgt diesen Gedanken auf mehrere Ebenen. Proof-of-Work sichert das Kassenbuch, die Obergrenze von 21 Mio. BTC sichert das Angebot, und signierte Freigaben sichern den Code der Referenzsoftware. Entscheidend bleibt, dass kein Maintainer die Konsensregeln allein ändern kann, denn jeder Knotenbetreiber wählt seine Software selbst.
Einschränkend gilt: Das Prüfskript ist laut eigener Dokumentation ein unfertiges Werkzeug, und nur wenige Nutzer verifizieren Signaturen tatsächlich. Die Sicherheit ist in der Theorie stark, in der Praxis hängt sie von der Wachsamkeit der Community ab.
Im vorherigen Bildungsartikel berichteten wir ueber Bitcoin Core Geschichte: Von SourceForge zu GitHub und transparenten Merge-Commits.
