XZ बैकडोर: समय, अभिशप्त समय, और धोखे

 (rheaeve.substack.com)
2 पॉइंट द्वारा GN⁺ 2024-04-01 | 1 टिप्पणियां | WhatsApp पर शेयर करें

XZ बैकडोर: समय, अभिशप्त समय, और धोखे

  • हाल ही में xz/liblzma tarball में छिपा हुआ एक बैकडोर खोजा गया।
  • यह संभवतः free software ecosystem में भरोसे के सबसे बड़े उल्लंघनों में से एक है।
  • माना जाता है कि यह बैकडोर xz के लंबे समय से maintainer रहे Jia Tan द्वारा डाला गया था।
  • maintainer के रूप में काम करते समय Jia अपेक्षाकृत रहस्यमय व्यक्ति बना रहा, और उसकी वास्तविक पहचान के बारे में बहुत कम जानकारी है।
  • free software क्षेत्र में anonymity को आम तौर पर सकारात्मक माना जाता है, लेकिन इस मामले में यह जानना दिलचस्प है कि वह कौन था जिसने लंबे समय तक community का भरोसा बनाया और फिर उसका दुरुपयोग किया।
  • Jia की गतिविधियों से प्राप्त metadata के ज़रिए उसके बारे में और अधिक जाना जा सकता है।

समय से क्या सीखा जा सकता है?

  • यह सोचना कि software किन परिस्थितियों में बनाया जाता है।
  • समय के पैटर्न हमें क्या बताते हैं, इसका दायरा बहुत व्यापक है।
  • code लिखने वालों में कुछ लोग इसे पेशे के तौर पर करते हैं और कुछ शौक के तौर पर।
  • अलग-अलग क्षेत्रों के लोग अलग-अलग समय पर code लिखते हैं।
  • छुट्टियाँ, नींद का schedule, work-life balance जैसी चीज़ों से code लिखना भी अछूता नहीं है।
  • यह समझना कि कोई व्यक्ति code कब लिखता है, यह समझने में मदद करता है कि वह क्यों और कहाँ code लिखता है।

Jia के commits का विश्लेषण

  • JiaT75 के XZ repository पर commits और timestamps का विश्लेषण किया गया।
  • Git timestamps को मनचाहे तरीके से बदला जा सकता है, लेकिन समय से जुड़े डेटा को विश्वसनीय ढंग से हेरफेर करना वास्तव में कठिन है।
  • वास्तविक समय बदलने की तुलना में केवल time zone बदलना आसान है।
  • Jia Tan शायद चाहता था कि लोग उसे एशियाई, खासकर चीनी, समझें, और उसके अधिकांश commits (440) पर UTC+08 timestamp है।
  • लेकिन अनुमान है कि वह वास्तव में UTC+02 (सर्दियों में) / UTC+03 (daylight saving time) time zone वाले किसी स्थान से था।
  • कभी-कभी वह time zone बदलना भूल गया था, और यह पूर्वी यूरोप के daylight saving time बदलावों से मेल खाता है।
  • Jia का work schedule और छुट्टियाँ चीन की तुलना में पूर्वी यूरोप के लोगों से अधिक मेल खाती दिखती हैं।

GN⁺ की राय

  • यह लेख software development community में भरोसे और anonymity के महत्व पर एक दिलचस्प केस प्रस्तुत करता है।
  • बैकडोर जैसे security threats open source projects की विश्वसनीयता को बड़ा झटका दे सकते हैं, और यह दिखाता है कि developers को code review और security audit पर अधिक ध्यान देना चाहिए।
  • ऐसे घटनाक्रम developers को commit logs और metadata के महत्व की याद दिलाते हैं। भरोसेमंद contributors की पहचान की पुष्टि करना project की सुरक्षा के लिए आवश्यक हो सकता है।
  • समान कार्यक्षमता देने वाले अन्य open source projects में GitLab, GitHub आदि शामिल हैं, जो community का भरोसा बनाए रखने के लिए security protocols और user authentication को मज़बूत कर रहे हैं।
  • यह लेख दिखाता है कि tech community के भीतर anonymity और trust के बीच संतुलन खोजना कितना महत्वपूर्ण है। project managers और contributors को ऐसी घटनाओं से सीखना चाहिए और code की transparency तथा security बढ़ाने के लिए कदम उठाने चाहिए।

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2024-04-01
Hacker News टिप्पणियाँ

  • पहली टिप्पणी का सार:

    • टिप्पणी लिखने वाला नहीं मानता कि हैकर पूर्वी यूरोप से है, और UTC+0200/+0300 समय-क्षेत्र में आने वाले यूरोपीय देशों तथा मध्य पूर्व क्षेत्र का उल्लेख करता है.
    • वह यह भी इंगित करता है कि यदि यह राज्य-प्रायोजित साइबर हमला है, तो वास्तविक कोड लिखने वाला विभाग और उसे इंटरनेट से जोड़ने वाला विभाग अलग हो सकते हैं, और दूसरा विभाग समय को इस तरह समायोजित कर सकता है कि प्रेषण जानकारी किसी खास कहानी से मेल खाए.

  • दूसरी टिप्पणी का सार:

    • टिप्पणी लिखने वाला कहता है कि GMT+8 समय-क्षेत्र, चीनी के साथ मिले-जुले नाम, और सिंगापुर सर्वर के जरिए कनेक्शन जैसी बातें सिंगापुर की पहचान की ओर इशारा कर सकती हैं.
    • वह यह भी कहता है कि मुख्यभूमि चीन के लोग विदेशी चीनी समुदायों के बारे में अच्छी तरह न जानते हों, इसलिए नाम के नकली लगने वाले दावे पर भी संदेह की गुंजाइश है.
    • वह सुझाव देता है कि Jia Tan की दूसरी पोस्टों का विश्लेषण करने से यह अलग करने में मदद मिल सकती है कि वह सिंगापुर का है, मुख्यभूमि चीन का है, या कोई स्लाविक भाषा उपयोगकर्ता है.

  • तीसरी टिप्पणी का सार:

    • टिप्पणी लिखने वाला कहता है कि वह बहुत यात्रा करता है, इसलिए अपनी यात्रा-समय-सारिणी को सार्वजनिक repository में उजागर नहीं करना चाहता, और इसी वजह से gc कमांड को TZ=UTC0 git commit पर मैप करके इस्तेमाल करता है.

  • चौथी टिप्पणी का सार:

    • टिप्पणी लिखने वाला कहता है कि घटना की गंभीरता से अलग, उसे इंटरनेट पर चल रहे इस रहस्य को सुलझाने की प्रक्रिया बेहद रोचक लगती है.

  • पाँचवीं टिप्पणी का सार:

    • टिप्पणी लिखने वाला Jia को हौसला देता है और कहता है कि कोशिश ही न की जाए तो सफल होने का मौका भी नहीं मिलता.

  • छठी टिप्पणी का सार:

    • टिप्पणी लिखने वाला बताता है कि दो commit के बीच समय का अंतर लगभग 9 घंटे नहीं, बल्कि करीब 1 घंटा है.

  • सातवीं टिप्पणी का सार:

    • टिप्पणी लिखने वाला कहता है कि वह खुद भी बहुत सुबह काम करने वालों में है, लेकिन हैकरों या युवाओं के लिए दोपहर या देर रात काम करना अधिक संभावित लगता है.

  • आठवीं टिप्पणी का सार:

    • टिप्पणी लिखने वाला सुझाव देता है कि mailing list के जवाबों के timestamp भी शामिल किए जाएँ.

  • नौवीं टिप्पणी का सार:

    • टिप्पणी लिखने वाला यह संभावना रखता है कि कोई अमेरिकी (या किसी और जगह का व्यक्ति) पूर्वी यूरोपीय होने का दिखावा करते हुए चीनी होने का भी दिखावा कर सकता है.