Vlákno názorů k článku Sofistikovaná sabotáž XZ zabrala roky, odhalena byla šťastnou náhodou od Josef Marianek - Dost desivy. Open source, asi ten kod videlo...

Dost desivy. Open source, asi ten kod videlo par lidi, proslo to testama a stejne tam byly zadni vratka... Aspon se clovek zamysli nad tema doporucenima jako pouzivat VPN ap.

Ten zásadní kód byl přidaný do nečitelného skriptu vygenerovaného autotools, který nikdo nečte. Payload byl v "testovacích datech", ale byl šifrovaný. Autoři se sice podle všeho chovali trochu jako slon v porcelánu (neotestovali si vliv změn na Valgrind nebo na fuzzery a hasili to až zpětně) ale prošlo jim to.

Tak presmerovani toho standardniho callu nejak docilite i u software k VPN. Beztak taky casto bezi nad openssl. RSA_public_decrypt je funkce z openssl, neni specificka jen pro SSH. Tohle je fakt dobre promysleny - a aplikovatelny nejen na to SSH.