Jak jedna kropka zhackowała cały internet? (XZ backdoor) - Łódzkie Spotkania Przy Kawie
ฝัง
- เผยแพร่เมื่อ 21 ธ.ค. 2024
- Odcinek tematyczny - backdoor w XZ Utils, czyli podatność w bibliotece programistycznej odpowiedzialnej za kompresję danych, która objawiała się podczas uruchomienia SSH przez systemd.
Bez głębszych technikaliów i z pominięciem niektórych smaczków, raczej popularnonaukowo.
Gość: / micha%c5%82-kozal-8452...
memy z X, komiks o projekcie, którym stoi internet - xkcd
filmik ze Stephem: Inspiration Daily, aczkolwiek raczej repost…
źrodła informacji również X + boehs.org/node...
Hastan nie sponsorował ale pozdro bo Łodziaki hastan.pl/
0:08 Intro
1:07 Co robi DevOps?
3:25 Historyjka - wstęp
4:52 Tytuł odcinka
6:00 Systemy operacyjne
10:01 Narzędzie do kompresji
14:08 Ominięcie sandboksa kropką
17:05 Hack czy crack?
17:55 Chowanie kropki w stogu siana
20:22 Kod binarny w plikach testowych
22:24 Atak socjotechniczny w dystrybucjach Linuksa
24:57 Ukrycie ataku w release'ach
26:13 Kto to wykrył?
30:09 SSH jako cel ataku
31:23 Daleko idąca analogia
32:54 Czym jest backdoor?
34:40 Skala ataku
36:25 Konsekwencje?
37:50 Ratunek w ostatniej chwili?
38:40 Potencjalne zmiany w Linux/FOSS
Atakujący także sprawdzał docelowe konfiguracje atakowanych systemów, stosował obfuskację (czyli zaciemnianie kodu źródłowego, żeby jednak nie był zrozumiały dla ludzi) i wprowadził możliwość rozszerzania zachowania tego ataku w przyszłości kolejnymi plikami testowymi.
Opisane w infografikach:
Jak umieścić celu ataku i wykonanie ataku twitter.com/AminovDanielle/status/1774459917287530909/photo/1
Przedstawienie wszystkich elementów przygotowanych przez atakującego twitter.com/fr0gger_/status/1774342248437813525/photo/1
Super odcinek 👌☕
Świetna rozmowa. Ja lubię góry i linuksa i moją Kropkę 🤣
bardzo dużo gadulstwa bez sensu, lepiej zastanowić się co się chce powiedzieć i powiedzieć to rzeczowo, film zbyt długi i ja, jako mocno osadzony, wątpię, że bym się czegoś dowiedział rzeczowego z tego filmu; marzy się popularność - wywiadowniku - włóż w to więcej pracy. napisałem inny komentarz i - info dla autora - powinno dojść powiadomienie mailem, komentarz usunąłem, bo nikt inny w sieci go nie potrzebuje przeczytać.
dalej widać 🙃 jednak dla laika, czyli dla mnie na przykład, to jest ciekawe.
@@SuavetraxMusic bardzo proszę, życzę powodzenia i proponuję zakończyć w swojej karierze sugerowanie bez posiadania dowodów, bo widzę, że niezareagowanie przy montażu nie było przeoczeniem, a konsekwencją :-)