La backdoor XZ : le temps, ce maudit temps, et les mensonges

La backdoor XZ : le temps, ce maudit temps, et les mensonges

• Une backdoor cachée a récemment été découverte dans les tarballs de xz/liblzma.
• Il s'agit peut-être de l'une des plus graves violations de confiance dans l'écosystème du logiciel libre.
• On estime que la backdoor a été insérée par Jia Tan, mainteneur de longue date de xz.
• Pendant son activité en tant que mainteneur, Jia est resté un personnage relativement mystérieux, et on sait très peu de choses sur sa véritable identité.
• Dans le monde du logiciel libre, l'anonymat est généralement perçu positivement, mais dans ce cas, il est intéressant de découvrir qui a abusé d'une confiance construite au sein de la communauté pendant si longtemps.
• Les métadonnées que l'on peut tirer de l'activité de Jia permettent d'en apprendre davantage à son sujet.

Que peut-on apprendre du temps ?

• Réfléchir aux conditions dans lesquelles les logiciels sont créés.
• L'éventail de ce que les schémas temporels peuvent nous révéler est très large.
• Parmi ceux qui écrivent du code, certains le font dans le cadre de leur métier et d'autres comme loisir.
• Selon les régions, certains écrivent aussi du code à des heures différentes.
• Jours fériés, rythme de sommeil, équilibre entre vie professionnelle et vie personnelle : l'écriture de code n'échappe pas non plus à ces facteurs.
• Comprendre à quel moment quelqu'un écrit du code aide à comprendre pourquoi et d'où il l'écrit.

Analyse des commits de Jia

• Analyse des commits et des horodatages du dépôt XZ de JiaT75.
• Les horodatages Git peuvent être modifiés à volonté, mais manipuler des données temporelles de manière crédible est en réalité difficile.
• Il est plus facile de ne modifier que le fuseau horaire que de changer l'heure réelle.
• Jia Tan voulait probablement que les gens le considèrent comme asiatique, en particulier chinois, et la majorité de ses commits (440) portent un horodatage UTC+08.
• En réalité, il viendrait plutôt de quelque part dans le fuseau UTC+02 (hiver) / UTC+03 (heure d'été).
• Il lui est arrivé d'oublier de changer de fuseau horaire, ce qui correspond aux transitions vers l'heure d'été en Europe de l'Est.
• Son rythme de travail et ses jours fériés semblent davantage correspondre à ceux d'un Européen de l'Est qu'à ceux d'un Chinois.

L'avis de GN⁺

• Cet article offre un cas intéressant sur l'importance de la confiance et de l'anonymat dans la communauté du développement logiciel.
• Des menaces de sécurité comme une backdoor peuvent porter un coup sévère à la fiabilité des projets open source, ce qui signifie que les développeurs doivent accorder plus d'attention aux revues de code et aux audits de sécurité.
• Ce type d'incident rappelle aux développeurs l'importance des logs de commits et des métadonnées. Vérifier l'identité des contributeurs de confiance peut être essentiel pour la sécurité d'un projet.
• Parmi d'autres projets open source offrant des fonctionnalités similaires, on peut citer GitLab et GitHub, qui renforcent leurs protocoles de sécurité et l'authentification des utilisateurs afin de préserver la confiance de la communauté.
• Cet article montre à quel point il est important de trouver un équilibre entre anonymat et confiance au sein de la communauté technique. Les responsables de projet et les contributeurs devraient tirer des leçons de ce type d'événement et prendre des mesures pour renforcer la transparence et la sécurité du code.

[GN⁺]

Commentaires Hacker News

• Résumé du premier commentaire :

  • L’auteur du commentaire ne pense pas que le hacker soit originaire d’Europe de l’Est et mentionne les pays européens correspondant au fuseau horaire UTC+0200/+0300 ainsi que le Moyen-Orient.
  • Il souligne que, dans le cas d’une cyberattaque soutenue par un État, le service qui écrit réellement le code et celui qui le met en ligne peuvent être séparés, le second pouvant ajuster les horaires afin que les informations d’origine correspondent à un récit donné.

• Résumé du deuxième commentaire :

  • L’auteur du commentaire indique que le fuseau horaire GMT+8, un nom mêlant du chinois et d’autres éléments, ainsi que des connexions passant par des serveurs à Singapour, peuvent suggérer une identité singapourienne.
  • Il note aussi qu’il y a matière à douter de l’idée selon laquelle le nom sonnerait faux, car les habitants de la Chine continentale ne connaissent pas forcément bien les communautés chinoises d’outre-mer.
  • Il suggère que l’analyse des autres écrits de Jia Tan pourrait aider à distinguer un Singapourien, une personne de Chine continentale ou un locuteur slave.

• Résumé du troisième commentaire :

  • L’auteur du commentaire explique qu’il voyage beaucoup et ne souhaite pas exposer son emploi du temps de déplacement dans un dépôt public, donc il mappe la commande gc sur TZ=UTC0 git commit.

• Résumé du quatrième commentaire :

  • L’auteur du commentaire dit trouver extrêmement fascinant le processus consistant à résoudre les mystères qui se déroulent sur Internet, indépendamment de la gravité de l’affaire.

• Résumé du cinquième commentaire :

  • L’auteur du commentaire adresse des paroles d’encouragement à Jia et dit que, si l’on n’essaie pas, on n’a même aucune chance de réussir.

• Résumé du sixième commentaire :

  • L’auteur du commentaire fait remarquer que l’écart entre les heures des deux commits est d’environ 1 heure, et non d’environ 9 heures.

• Résumé du septième commentaire :

  • L’auteur du commentaire mentionne qu’il travaille lui aussi tôt le matin et ajoute qu’il serait plus plausible que des hackers ou des jeunes travaillent l’après-midi ou tard dans la nuit.

• Résumé du huitième commentaire :

  • L’auteur du commentaire suggère d’inclure également les horodatages des réponses sur la mailing list.

• Résumé du neuvième commentaire :

  • L’auteur du commentaire avance l’hypothèse qu’un Américain (ou quelqu’un d’ailleurs) pourrait se faire passer pour un Européen de l’Est tout en se faisant passer pour un Chinois.