Inte personens första bakdörr, med Peter Magnusson Kodsnack

Fredrik får besök av Peter Magnusson från grannpodden Säkerhetspodcasten, som hjälper till att reda ut vad som egentligen hänt kring bakdörren i komprimeringsbiblioteket XZ.
Under påsken upptäcktes en bakdörr i XZ, som hade potential att ge upphovspersonerna tillgång till maskiner som kör saker som SSH och Systemd. Bakdörren var gömd i binärfiler för testfall, byggd för att inte märkas, och allt som behövdes hade smugits in över tid efter en koordinerad kampanj där upphovspersonerna gavs maintainerbehörighet till XZ.
Peter reder ut vad som hänt, framgångar och misstag från angriparnas sida, och ger en säkerhetsinsatts perspektiv på det hela. Det är fascinerande att hela aktionen skett helt i det öppna och helt dokumenterad i text - e-post, commits och så vidare. Dessutom är det intressant att spekulera över vilka som kan tänkas ligga bakom, och vad det betyder med de misstag som faktiskt gjorts i processen och koden.
Och givetvis det läskiga i att överarbetade underhållare av öppen källkod kan göras till måltavlor på det här sättet. En ond aktör plötsligt kan ha incitament att bygga upp en helt falsk verklighet kring en specifik person. Vad är chansen att detta är den enda operationen av det här slaget som pågått och kommer att genomföras?
Och så måste vi hylla de människor som inte bara accepterar att en ny version av något plötsligt beter sig lite konstigt utan dyker ner och upptäcker händelser som dessa!
Ett stort tack till Cloudnet som sponsrar vår VPS!
Har du kommentarer, frågor eller tips? Vi är @kodsnack, @thieta, @krig, och @bjoreman på Mastodon, har en sida på Facebook och epostas på info@kodsnack.se om du vill skriva längre. Vi läser allt som skickas.
Gillar du Kodsnack får du hemskt gärna recensera oss i iTunes! Du kan också stödja podden genom att ge oss en kaffe (eller två!) på Ko-fi, eller handla något i vår butik.
Länkar XZ Peter Tidigare avsnitt med Peter Säkerhetspodcasten Assured Intrångstester Verilog FPGA Arm Trustzone Jesper i Säkerhetspodcasten Tidslinje för XZ-bakdörren SSH Systemd LZMA XKCD-strippen med biblioteket allting bygger på Russ Cox Andreas Freund som hittade bakdörren Intervju med Andreas Freund Mycket bättre podd-intervju med Andreas Freund, i podden Oxide and friends Debian Sid Hur bakdörren fungerar Länkare RSA-autentisering Lasse Collin Diskussionstrådarna om att lämna över kontrollen över XZ till Jia Tan Säkerhetspodcastens avsnitt om XZ Kodsnacket om och med underhållare av öppen källkod University of Minnesotas oetiska försök att sänka säkerheten i Linuxkärnan Open-source intelligence Fuzzing Clifford Stoll The cuckoo’s egg Videor med Clifford Stoll Clifford Stoll snackar på TED Replay-attacker Ryan Mcbeth ICD 203 RCE - remote code execution NSA Tailored access operations Dual-EC DRBG Git rewrite Solarwinds-hacket Rob Menching - A microcosm of interaction in open source projects Theo T3.gg - What everyone missed about the Linux hack OWASP CI/CD topp tio Podden Fredrik lyssnade på The perfect backdoor is indistinguishable from a bug Mario Heiderich från Cure53 Mario och Angular Titlar Algoritmerna gjorde sitt Din förklaring av en XZ Lempel-Ziv-baserad Vår vän Andreas En lång nattlig övning Jag behöver sova nu Hjärnspöke Oacceptabla tider på SSH Egen liten paketstruktur En helt infekterad miljö Det här är inte en normal konversation Få och överarbetade maintainers Bygga en historik Trådarna innehåller ondska Ingen meningsfull utveckling Omgiven av ett jättekonstigt community Du har levt i en falsk verklighet Förbereda ondska Sluta hålla på och fuzza Inte personan som är maintainer Det är väldigt svårt att vara perfekt Det finns tre bytes i den här payloaden Där ingen vill göra ondska Om man ska göra ondska Så fort du orsakar impact Det saknades två cent När “go go go”-ordern kom “Go go go” innan grejerna var helt klara Svår