Et halvt sekund langsommere. Det var det eneste spor.
Hvordan en bagdør, plantet over to år i et betroet open source-værktøj, blev fanget ved et tilfælde, og hvorfor ingen ny version bør komme ind i jeres produkt ulæst.
Fakta
Hvad skete der
Der blev fundet en bagdør i version 5.6.0 og 5.6.1 af xz utils, et komprimeringsbibliotek i mange Linux-systemer (CVE-2024-3094). En bidragyder brugte omkring to år på legitimt udseende bidrag, før vedkommende fik vedligeholderrettigheder og smuglede den ind.
Hvad det førte til
Den blev fanget ved et tilfælde, da ingeniøren Andres Freund undersøgte en forsinkelse på cirka et halvt sekund ved SSH-login. Den havde nået nogle test- og udviklingsdistributioner, men ikke de store stabile udgivelser.
Hvad CRA nu kræver
Due diligence over for komponenter fra tredjeparter (artikel 13, stk. 5); identificér og dokumentér komponenter (bilag I, del II, nr. 1); beskyt programmernes integritet (bilag I, del I, nr. 2, litra f).
Kilde: NIST National Vulnerability Database, CVE-2024-3094
Historien
I marts 2024 lagde en softwareingeniør ved navn Andres Freund mærke til noget, de fleste af os ville have overset. Når han loggede ind på en af sine computere fra en anden, tog det cirka et halvt sekund længere end normalt. Ikke i stykker, ikke fejlende, bare langsomt. Et halvt sekund. Man kunne blinke og miste det. Men han blev ved med at trække i tråden, og i den anden ende var der noget, der fik det til at løbe koldt ned ad ryggen.
Gemt i et lille gratis værktøj til at pakke filer, bygget ind i mange af de computere, der driver internettet, var der en hemmelig dør. Og den var ikke kommet dertil natten over. En person under navnet Jia Tan havde brugt omkring to år på at hjælpe til i projektet og tålmodigt vinde alles tillid, indtil de fik lov til at godkende ændringer. Så brugte de den tillid til at smugle døren ind. Den forgiftede version havde nået nogle testsystemer, men ikke de versioner, de fleste virksomheder bruger. Den blev fanget af én mands nysgerrighed og en forsinkelse på et halvt sekund.
Forestil dig nu den anden version af historien, den hvor ingen opdagede det: en virksomhed opdaterer de gratis dele i sine produkter til nyeste version uden at læse, hvad der er ændret, signerer resultatet med sin officielle nøgle og sender den hemmelige dør ud til hvert apparat, den nogensinde har solgt. Cyber Resilience Act siger, at held ikke er en plan. Virksomheder skal udvise due diligence over for de dele, de henter fra andre: ingen ny version kommer ind ulæst, hver dels oprindelse skrives ned, og signeringsnøglen låses inde, så den kun kan bruges på noget, der er tjekket.
Andres Freund og Jia Tan er navne fra offentligt tilgængelige kilder. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
1. Vid hvad der er indeni
En liste over alle softwaredele i jeres produkt, lavet automatisk hver gang I bygger en ny version. Den kaldes en SBOM (software bill of materials).
Sådan virker systemetKunne I gøre det i dag?
Læser nogen, hvad der er ændret, før en ny version af en tredjepartsdel kommer ind i jeres produkt?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først