Jak pół sekundy uratowało świat przed zagładą?

Krótka historia o tym jak przez lata przygotowywano jeden atak na serwery w internecie.

[Nexiu]

@a94e345cd1084e88ab6e20h41571718a 0.5s

[PlesniakPospolity]

@a94e345cd1084e88ab6e20h41571718a: Niestety nie wyjaśniono dlaczego tak pozornie banalna operacja jak porównanie klucza (tak to przedstawiono) zajęła aż pół sekundy co w języku kompilowanym do kodu maszynowego to cała wieczność.

[a665321]

tl;dw:
Przedstawiono, jak potencjalny cyberatak na protokół openSSH mógł zagrozić globalnemu bezpieczeństwu. Opisano strategię polegającą na wpleceniu złośliwego kodu do projektu xz, wykorzystywanego w systemach Linux, która mogła umożliwić nieautoryzowany dostęp do milionów urządzeń. Kluczowym momentem był odkrycie przez Andreasa Freunda opóźnienia w logowaniu SSH, co zapobiegło katastrofie. Atak związany z lukią CVE2024-3094, zakamuflowany w procesie kompilacji, wymagał interwencji społeczności, aby odwrócić szkody. Ostatecznie, historia ukazuje złożoność cyberbezpieczeństwa oraz znaczenie społeczności open-source

[severh]

Przedstawiono, jak potencjalny cyberatak na protokół openSSH mógł zagrozić globalnemu bezpieczeństwu. Opisano strategię polegającą na wpleceniu złośliwego kodu do projektu xz,

@a665321: uściślając XZ to narzędzie obsługujące kompresję i było wektorem ataku. W momencie kiedy używane było przy kompresji i dekompresji źródeł OpenSSH dodawało w bardzo perfidny sposób złośliwy kod uktyty w plikach wyglądających jak skrypty testowe.

[Pan_Slon]

@severh: w zasadzie wektorem ataku był człowiek, który utrzymywał repozytorium xz, potem poszło z górki. Pomysł iście szatański i bardzo ciekawy

[Pan_Slon]

Raczej człowiek który zwrócił uwagę na te „pół sekundy” bo ogrom ludzi by nie zwrócił.

[RekinekBiznesu]

@Pan_Slon: do tego to jeszcze inżynier Microsoftu (⌐ ͡■ ͜ʖ ͡■)

[mulligan]

@MistrzCietejRiposty: czyli testy jednak do czegoś się przydają! ( ͡° ͜ʖ ͡°)

[Kalwi]

Zdjęcie tego gostka na chwile przed tym jak odkrył “dziurę”

[jeanpaul]

Zdjęcie tego gostka na chwile przed tym jak odkrył “dziurę”

@Kalwi: To ten po lewej czy po prawej?

[Qaktuz]

Lata skrzętnie planowanej intrygi zostały zaprzepaszczone, bo jakiemuś (pewnie autystycznemu) gostkowi nie pasowało 0,5 sekundy i zaczął drążyć. W sumie brzmi to wyjątkowo zabawnie XD

[P.....3]

Wszyscy wiemy, że za atakiem stali żydzi.
Pozdrawiam

[RoMaN_MiKLaS]

@gl0wa: albo korea płn

[gl0wa]

albo korea płn

@RoMaN_MiKLaS: aktywność czasowa wskazuje raczej na Europę wschodnią, a sposób formułowania niektórych zdań nie jest naturalny dla języka angielskiego a typowy dla osób rosyjsko-języcznych używających angielskiego.

Oczywiście może to być kolejna warstwa pozorów a może nie.

[ApageZ]

Ouch. Nie przypuszczałem, że sprawa była tak poważna. Naprawdę szczęście, że udało się to tak szybko wyłapać.
Ukłony dla pana Andresa Freunda, Lasse Collina i całej zaangażowanej w sprawę społeczności.

[hubelot]

@ApageZ było grubo, każdy os z wystawionym ssh pozwalał się do niego wbić, rutery, serwery wszystkonotwarte

[wykopyrek]

Świat przed zagładą

jpdl (－‸ლ)

[Mopek666]

przypisywanie backdorowi w xz zdolności do niesienia zagłady światom nie prezentuje ci się jako srogie odklejenie?

@wykopyrek: W połączeniu z podatnością w OpenSSH - nie.

[Mopek666]

po jednym włamaniu dalej nikt by nie widział problemu?

@wykopyrek: Myślę, że ktoś to miał wystarczającą wiedzę i środki, żeby przeprowadzić taki atak, potrafiłby taką zależność odpowiednio wykorzystać. Nie przez przypadek ocena zagrożenia to 10/10.

[giko123]

Ale jaja, ktoś w cholerę sprytny, plan iście genialny ( ͡° ͜ʖ ͡°) nie jestem z it, ale tylko trochę próbowałem coś się nauczyć w cyberbezpueczenstwie, ale jestem zbyt głupi, natomiast ten film to miód na uszy, niczym sprawy kryminalne xD

[An-Dagda]

Do czego systemd potrzebuje lzma?

I jesli backdoor byl tez w pakietach RPM, to czy aby na pewno ucierpial tylko debian?

[trez_]

@An-Dagda: nie tylko, podejrzewam że chodziło, że w sid-dzie go zauważono. Z większych distro załapały to niektóre buildy fedory, której następna wersja swoją drogą ma wychodzić jakoś za miesiąc, co by było pierwszym dużym zagrożeniem, czy np opensuse tumbleweed.
Możemy zakładać, że pierwszym celem były debian i fedora, bo na ich listach było nagabywanie na nową wersję lib-a

[no_one]

@Ingvarr100th: loadbalancery nie wystawiają na świat ssh (te poprawnie i rozsądnie skonfigurowane).