Last Updated on 2024-10-24 06:41 by admin

XZ Utilsのバックドア事件は、ソフトウェア供給チェーンの攻撃の一例である。ソフトウェア依存関係への攻撃が増加しており、国家主導の攻撃が主流になっている。ソフトウェア供給チェーンの脆弱性を解決するためには、ソフトウェアの成分表を作成するなどの対策が必要である。

オープンソースプロジェクトは、無償で提供されることが多く、メンテナーの負担が大きい。オープンソースプロジェクトのメンテナーには、適切な報酬や支援が提供されるべきである。テック企業は、オープンソースプロジェクトに依存しているため、その責任を果たすべきである。

ソフトウェア供給チェーンのセキュリティは、国家安全保障の一環として扱われるべきである。政府は、ソフトウェア供給チェーンのセキュリティに関する規制や取り組みを行うべきである。また、政府は企業に対して責任を果たすように強制することができる。

【関連記事】
Rustのliblzma-sysに潜むバックドア、21,000回以上のダウンロード後に発覚
大手テック企業とApex Programがもたらすセキュリティパラダイムシフト
オープンソースソフトウェアのセキュリティ警鐘：XZ Utilsにバックドア発見
オープンソースソフトウェアに潜む危険：Microsoftが発見したバックドア
Linux圧縮ツールXZにバックドア発見、複数ディストリビューションが危機に
サイバーセキュリティ最前線：グローバル協力から新たな脅威まで
緊急警告: XZ Utilsにバックドア、最大CVSSスコア10.0の脆弱性発覚
警告：LinuxとMacOSに影響、XZ Utilsにバックドア発見！

【ニュース解説】

先週、インターネットは大規模な国家主導の攻撃を免れました。この攻撃は、世界中のサイバーセキュリティに甚大な影響を及ぼす可能性があったものですが、発生しなかったため、大きな注目を集めることはありませんでした。しかし、この出来事から学ぶべき重要な教訓があります。それは、世界中のインターネットの安全性が、数えきれないほどの目立たないソフトウェアと、それを書いたり維持したりするさらに目立たない無報酬のボランティアに依存しているという事実です。この状況は持続不可能であり、悪意のある行為者によって悪用されていますが、この問題を解決するための具体的な対策はほとんど講じられていません。

プログラマーは追加作業を好まないため、既に書かれたコードを見つけて使用することを好みます。これらのコードリポジトリ、ライブラリと呼ばれるものは、GitHubのようなサイトでホストされています。ライブラリは現代のプログラミングに不可欠であり、複雑なソフトウェアの構築ブロックとなっています。使用しているすべてのものには、これらのライブラリが数十個含まれており、その機能性とセキュリティに不可欠です。

XZ Utilsというオープンソースライブラリは、おそらくあなたが聞いたことがないでしょうが、数億台のコンピュータに存在しています。データ圧縮を行うこのライブラリは、多くのオープンソースライブラリと同様に、ボランティアによって維持されています。XZ Utilsの場合、それはLasse Collinという一人の人物が2009年に書いたもので、彼が管理しています。2021年から、Collinは個人的に標的とされ、最終的には2023年初頭にXZ Utilsの管理権を移譲することに成功しました。その後、バックドアがXZ Utilsに組み込まれ、発見されないようにシステムが無効化され、地道な準備が進められました。

このバックドアはSSHリモートログインプロトコルに影響を与え、特定のキーを使用することで隠された機能を有効にすることができます。このキーを持つ者は、バックドアを介して任意のコードをアップロードして実行することができます。SSHはrootとして実行されるため、そのコードは何でも実行することができます。このバックドアは、長年にわたるエンジニアリングの努力の結果であり、主要な国家が背後にいると広く信じられています。

この事件は、ソフトウェア供給チェーンへの攻撃の一例であり、ソフトウェア依存関係への攻撃が増加していることを示しています。ソフトウェア供給チェーンの脆弱性を解決するためには、ソフトウェアの成分表を作成するなどの対策が必要です。オープンソースプロジェクトは、無償で提供されることが多く、メンテナーの負担が大きいため、適切な報酬や支援が提供されるべきです。テック企業は、オープンソースプロジェクトに依存しているため、その責任を果たすべきです。

ソフトウェア供給チェーンのセキュリティは、国家安全保障の一環として扱われるべきです。政府は、ソフトウェア供給チェーンのセキュリティに関する規制や取り組みを行うべきであり、企業に対して責任を果たすように強制することができます。

from Backdoor in XZ Utils That Almost Happened.