Doch das Konzept der freien Zusammenarbeit basiert auf der Annahme, dass jede Mitarbeiterin gute Absichten hat. Dass niemand den geteilten Werkzeug­kasten vergiften will.

Der wirtschaftliche Aspekt ist dabei kaum relevant: Wer zu einem Open-Source-Projekt beiträgt, wird vom Maintainer in der Regel nicht bezahlt, sondern tut dies unentgeltlich.

Wenn der gleiche Akteur bei einer grossen Software-Firma mit weltweiter Verbreitung angestellt ist (z.B. Adobe, Microsoft, Apple) könnte er die genau gleiche langfristige Attacke intern vornehmen. Der grosse Unterschied ist, dass bei proprietären Projekten der Quellcode nicht untersucht werden kann, und somit keine Chance besteht, dass die Aktion aufgedeckt und nachverfolgt werden kann. Und falls es intern entdeckt wird, werden die Kunden, und die Welt, nie davon erfahren.
Geschlossen/proprietär ist in dieser Hinsicht noch viel unsicherer und komplett obskur.

Natürlich gibt es Code-Reviews. Aber die sind darauf ausgerichtet, Inkompetenz und Flüchtigkeitsfehler auszusieben, nicht eine von langer Hand geplante, bewusste Täuschung durch eine Person, die sich durch jahrelange hilfreiche und tadellose Beiträge eine Vertrauensposition erarbeitet hat.

Und insofern basiert ein offener Entwicklungsprozess, der Beiträge von jederman akzeptiert, ohne die Identität und Interessenbindungen der beitragenden Person zu überprüfen, durchaus auf einem gewissen Grundvertrauen, dass, wie dieser Vorgang zeigt, missbraucht werden kann.

Natürlich würde man hoffen, dass besonders exponierte Teams Beiträge besonders sorgfältig prüfen. Aber das schützt einen nicht davor, dass Dritte die überprüfte Software um eine nützliche Funktion ergänzen, und dazu ein Bauteil verwenden, dessen Hersteller nicht vom diesem besonders exponierten Einsatz weiss und deshalb dafür keine besonderen Vorsichtsmassnahmen ergriff.

"frühzeitig" würde ich das nicht nennen. Um im Bild zu bleiben: Die sabotierte Einspritzpumpe war bei den ersten Automarken (die zum Glück eher Nischenmärkte bedienen) schon serienmässig eingebaut und ausgeliefert, und auch bei den etablierten Automarken waren die Fabriken schon am laufen, und die hergestellten Fahrzeuge schon für die Auslieferung verpackt, als ein Automobilenthusiast bei einer Vorab-Version des neuen Modells eine subtile, merkwürdige Veränderung des Fahrgefühls feststellte, aus Neugier sein Auto auseinandernahm um die Ursache zu finden, dabei die sabotierte Einspritzpumpe fand und dies postwendend den Sicherheitsbeauftragten der Automobilhersteller mitteilte, worauf die die Auslieferung gerade noch stoppen konnten.

Wir hatten unglaubliches Glück, dass diese Sabotage aufgeflogen ist, bevor Millionen von IT-Systemen der Willkür der Angreifers ausgeliefert wurden.

Wir wissen, dass viele nicht gefunden werden.
Umso wichtiger ist tägliche ernsthafte Arbeit für mehr Sicherheit.

Das freut mich, Frau O., dass es nicht nur für Techies verständlich ist, war genau das Ziel :-)

Welche Schlüsse ziehen Sie aus Ihrer geschlechtsspezifischen Beobachtung?
Konzentriert sich die männliche Freiwilligenarbeit mehr aufs Technische als auf die Betreuung von dementen Angehörigen, weil das dem männlichen Naturell insgesamt mehr entspricht, was sich auch in den Kommentaren zeigt?

Re: Männer dominieren Tech - das tut vielen von uns sehr leid. Es gibt signifikante Teile verschiedener Internet-Kulturen, welche ziemlich ruppige Umgangsformen haben; dies schreckt viele Leute die sich möglicherweise für IT begeistern könnten ab.

@Lukas - Sorry, ich glaube nicht an ein geschlechtliches Naturell, welches technologisches Interesse bewirken könnte. Vielleicht gibt es ja neurologische Evidenz, dass das Biogeschlecht mit gewissen Hirnfunktionen zusammenhängt, aber ich lese die Evidenz so, dass die Unterschiede durch unsere Sozialisierung entstehen.

@Elvira - Ich glaube nicht, dass es problematisch, solange diese weitergegebenen Glaubenssätze als solche markiert sind. Ich habe in den Diskussionen um diesen Angriff viele glaubwürdige Argumente gelesen, dass es sich um eine gut finanzierte Organisation handelt. Dass dies auch ein privater Akteur sein könnte ist möglich, aber die Kosten für eine solche Entwicklung sind wirklich horrend.

Als kritische, von vertieften IT-Kenntnissen nicht angekränkelte Leserin und ausgebildete Journalistin hege ich eine kleine Unzufriedenheit mit dem zwar interessanten Bericht. Denn ich suche nach einer Denkart, wie man einen solchen Text für Menschen wie Sie und mich überzeugender redigieren könnte. Vielleicht, dass man Glaubenssätze nicht unkritisch weiter geben sollte. Ein Staat stecke mit hoher Wahrscheinlichkeit dahinter — das ist ein Glaubenssatz. Wer aus einem Raum berichtet, zu dem nur wenige Eingeweihte Zugang haben, (wobei solche Räume Assange zufolge in der Vergangenheit expandierten und noch immer mehr werden,) muss Sachlichkeit, Glaubwürdigkeit und Verantwortung hoch gewichten. Unsere hochtechnisierte zerstrittene und beschädigte Welt steht kurz vor dem Aus. Gesätes und proliferiertes Misstrauen trägt nicht zur Schlichtung und Entschärfung bei. Unser Ziel muss eine friedliche Welt sein. Ein friedliches Internet braucht Visionäre, die genau daran arbeiten, keinen Klatsch à la 20 Minuten, oder solchen nicht mal in subtilen Anklängen. Und, what‘s more: eine Gesellschaft, die den Kriegen den Boden entzieht, realistischerweise zuerst im eigenen Land.

Also, das kannst du so nicht sagen. Das Problem war, dass der verschleierte Code zusätzliche CPU-Ressourcen verwendet. Entsprechend kommt es auf das System an. Aber Andres schreibt hier über seine Tests:

Observing Impact on openssh server:
before: real: 0m0.299s
after: real: 0m0.807s
(https://www.openwall.com/lists/oss-…24/03/29/4)

Im xz binary selber ist kaum ein Performanceunterschied messbar.
Der Schadcode in liblzma prüft das ausführende Binary zur Ladezeit und wird nur im Falle von openssh aktiviert.
Alle anderen Binaries die liblzma nutzen zeigen daher kein verdächtiges Verhalten.

Hihi ja dieses XKCD ist natürlich sehr relevant. Ich hatte Randall Munroe auf Twitter kürzlich gefragt, ob er Zugriffszahlen für dieses Comic hat. Denke das ging seit Karfreitag ziemlich ab. Aber er hat meinen Tweet wohl leider nicht gesehen

Classic!

😅

Organisationen wie die "Digitale Gesellschaft" oder "CH++" setzen sich für diese Art Kompetenzen in der Politik ein. Dann können indirekt wir die Politik durch unser Wahlverhalten beeinflussen. Bei der letzten NR-/SR-Wahl versuchte CH++ die IT-Kompetenz der Kandidierenden zu zeigen. Zwar heisst IT-Kompetenz noch lange nicht, eine Open-Source-Philosophie zu unterstützen. Aber es ist ein Anfang.

Das machen wir auch so in etwa dem gleichen Umfang. Wer noch?

[...] Linux, das man mit nur leichter Übertreibung als das Betriebs­system des Internets bezeichnen könnte

Der Supercompter des CSCS in Lugano läuft auch mit Linux, wie praktisch alle High Performance Computing Systeme. Es ist der Standard im wissenschaftlichen Rechnen. Wenn man etwas technisches Verständnis, Flexibilität und Lernfähigkeit besitzt, eignet es sich auch als Desktopsystem, besonders für ältere Rechner die man sonst ersetzen müsste. Hier gibt es tatsächlich noch etwas komplett gratis!
Der xz Vorfall ist schon bemerkenswert und gibt einen Vorgeschmack von Cyberkrieg. Ich hoffe das Militär schaut sich das genau an. Bei mir dreht da die Fantasie komplett durch: ein roter Knopf in Moskau/Peking/Washington und alle Windows/Apple/Linux Rechner gehen bei uns aus? Die Zerstörung wäre gewiss unvorstellbar gewaltig.

Auch von meiner Seite eingrosses Lob an den sehr gut geschriebenen Artikel!

"sich mit Richard Stallman verbündet zu haben" beschreibt es nicht richtig. Linus Torvalds wählte die GNU Lizenz GPL-v2, die von Richard Stallmann entwickelt wurde. Aber er ist aber viel pragmatischer als Stallmann.

Das GNU Projekt ist, neben der phantastischen Software die ich jeden Tag brauche (Compiler, Emacs, GLIBC), auch ein politisches Projekt, und die GPL eine Art technologisches revolutionäres Manifest. Es lohnt sich, die Philosophie-Seiten bei gnu.org zu lesen. Auch wenn man nicht der gleichen Meinung ist, es erweitert den Horizont ungemein, zu lesen, wie man auch heute die Produktionsmittel der Allgemeinheit zur Verfügung stellen sollte.

Und auch wirtschaftlich ist die GPL-Lizenzierte Software wichtig: Google, Amazon, Facebook etc konnten nur entstehen, weil die Grundlagen (Produktionsmittel) vollständig frei und unentgeltlich zur Verfügung standen. Die GPL ist die Grundlage dafür, dass man mit Konkurrenten zusammen die Grund-Technologie entwickeln kann, auch wenn man einander nicht traut und in harter Konkurrenz steht. Ein Meisterwerk.

Genau das! Unternehmen nutzen die freigiebige Lizenzen aus, was deren gutes Recht ist, da es die Lizenz erlaubt. Moralisch fragwürdig, aber legal.
Wo man aber eine Grenze ziehen sollte (Hallo Gesetzgeber!):
Wenn Unternehmen OpenSource benutzen, um ihre Produkte mit erhöhtem Gewinn zu produzieren und dann noch nicht einmal die Software Komponenten einem Qualitätstest unterziehen: Wenn jede Firma Audits der Softwarekomponenten machen würden, wäre vielen geholfen!
Genau gesagt ist das grob fahrlässig und es ist nur legal, weil die Softwareindustrie seit Jahrzehnten ein Haftungsgebot kategorisch ablehnt und behauptet Software wäre prinzipiell unsicher(was nicht stimmt).

Hier gibt es noch ein etwas mehr auf Technik fokussierten Bereicht zu dem Thema, die aufzeigt, was da wirklich gemacht wurde:
https://dnip.ch/2024/04/02/xz-open-…lt-retten/

Ich will hier noch darauf hinweisen das dieses Bild wohl als Negativstereotyp da sein soll, aber ich finde das ist es absolut nicht!

Viele Leute leben aus finanziellen Gründen noch/wieder mit ihren Eltern https://www.npr.org/2022/12/11/1139…ng-parents
Und einen Hobbykeller ist doch was tolles.

Ja, ist so: ohne Linux kein Internet mehr, keine Cloud mehr. Linux wird einfach nicht als solches erkannt: siehe auch https://en.m.wikipedia.org/wiki/Usa…ng_systems
Supply chain attacks sind sehr gefährlich, da das Schadensausmass (Anzahl betroffene Geräte) schnell sehr gross sein kann.

Was nicht ist kann noch werden.
Informatik ist auch meine zweite Ausbildung.

Aber nur wer Zugriff auf den Code hat, kann verstehen, wie eine Software im Detail funktioniert, und sie verändern und weiterentwickeln.

Zum Artikel der Züge hier sonst noch der Vortrag der Hacker selbst dazu.
Hat durchaus auch Unterhaltungswert. https://media.ccc.de/v/37c3-12142-b…ish_trains

Ha, die Geschichte mit den Zügen ist glatt an mir vorbei! Das ist ja heftig auf so vielen Ebenen...
Danke vielmals für den Link!

Ich halte es für eher unwahrscheinlich, dass ein angreifbares Gerät in einem IoT-Device bei jemandem zuhause steht. Die infizierte Version schaffte es noch nicht in die stabilen Linux-Distributionen, und erst Recht nicht in die mit Long Term Support. Das Zeitfenster war zudem ziemlich eng: Ein Hersteller hätte genau im falschen Moment eine unstable-Version auf dem fraglichen Gerät installieren müssen. Zu früh oder zu spät und die infizierte xz-Version wäre nicht dabei gewesen.

Ja, wir sind viel weniger autark als eine Bauernfamilie vor 80 Jahren. Und solche Gedanken mache ich mir auch.

In der Telekommunikation vor dem Internet war noch eine Ausfallsicherheit von „five nines“ üblich, also dass Dienste 99,999 Prozent des Jahres verfügbar sein mussten. Sie durften also höchstens 5 Minuten pro Jahr ausfallen.

Mit unserer Abhängigkeit von Internet, Cloud, Software & Co. sollten wir eine solche Robustheit heute wieder anstreben.

Prepper?

Zu deinen Punkten:

1. warten bis es wieder tut (Kerze, feinen Wein oder Tee trinken etc)

2. was willst du jetzt plötzlich mit deinen Daten?

3. Bargeld ist immer gut - auch ohne Ausfall - es hinterlässt wenig Spuren für die Tracker

4. wen willst du jetzt anrufen? telefonieren geht nicht mehr und auch die Stromversorgung dürfte ausfallen

5. CB oder Kurzwelle - hast du das mal gelernt und immer geübt?

"Dort müsste man ansetzen" macht es etwas zu einfach. IT-Sicherheit besteht nicht nur aus einer Massnahme. Das klingt für mich so, als wäre es mit Perimeterschutz getan. Das ist zwar sehr wichtig, aber nur eine von vielen Massnahmen. Eine ist auch, alles dafür zu tun, schon gar keine löchrige Komponenten im Netz zu haben. Es geht nicht nur drum, den einen Angriffsvektor zu unterbinden. Sondern möglichst viele Vektoren. Und dann auch, um Bewegungen nach einem allenfalls erfolgreichen Angriff zu unterbinden.

Also ich find das schwierig - klar, mehr Hürden sind besser aber die Idee von einem trustworthy "Intranet" sind auch nicht State of the Art.
https://en.m.wikipedia.org/wiki/Zer…rity_model

Und "Cisco vulnerability" ist ja schon fast ein Pleonasmus.

Dann infiziert halt einen Rechner, der Zugriff auf den Server hat.
Klar ist es nicht einfach aber wenn SSH schon “offen” ist hat man eine Hürde weniger.

Zur Entwicklung der Hintertür reichen "ein paar Abende" definitiv nicht. Das Teil ist extrem raffiniert versteckt und sogar verschlüsselt. Die Manipulation des Buildsystems, welche die Test-Files aufdröselt, entschlüsselt, und dann das Backdoor einbaut, ist auch nicht im Git-Repo sondern wurde nur in die Release-Downloads eingebaut. Das Backdoor selber ist genial, indem es dem Angreifer nicht einfach eine SSH-Verbindung aufmacht, was auffallen könnte. Die Befehle werden stattdessen im Zetifikatsaustausch versteckt. Alles in allem sind das mehrere Jahre Entwicklungsaufwand.

Die Art, wie das aufgezogen wurde, ist in Geheimdienstkreisen üblich und die potentielle Nutzung einer solchen Lücke auch.
Ausserdem gab es keine Verhaftungen bis dato, man war also nicht vorbereitet auf ein leak vor der Ausbreitung. Sonst hätte man es zwei Tage jemandem angehängt, um abzulenken.
Um so wichtiger ist es, Aenderungen an kritischen Programmen und deren verwendeten Libraries durch mehrere Peer Reviews zu validieren. Ausserdem sollte man nach weiteren Lücken in diesem Umfeld suchen, dass nur eine eingebaut wurde, ist unwahrscheinlich.

Wir sehen ja konkret nur die Spitze des Eisbergs: Als "Jia Tan" Kontakt mit dem XZ-Maintainer aufnahm, war ersterem die Abhängigkeit zwischen XZ und dem Build-Prozess von ssh bereits bekannt und es ging primär darum, diese auf eine glaubwürdige und unauffällige Art auszunutzen.

Offen bleibt, wie "Jia Tan" diese Abhängigkeit entdeckte. Handelt es sich um einen neugierigen Hacker, der aus Interesse die Build-Prozesse analysierte, dabei die Abhängigkeit erkannte und es sich zum sportlichen Hobby machte, diese "for the lols" auszunutzen? Oder steht eine grosse (staatliche) Organisation dahinter, welche kritische Open Source-Komponenten wie ssh systematisch auf Schwächen untersuchte, dabei die XZ-ssh-Verbindung entdeckte und diese dann systematisch angriff?

IMHO sind 2.5-3 Jahre für einen neugierigen Hacker eine lange Zeit, und auch die operative Hektik, die Lücke vor dem Rebuild der grossen Linux-Distributionen zu platzieren, deutet eher auf eine Organisation hin. Aber Vermutungen sind natürlich keine Beweise.

Es gibt bereits Analysen (https://rheaeve.substack.com/p/xz-b…-times-and) welche mit Zeitstempeln den Akteur etwas eingrenzen.