Poisoning your supply chain - the xz-utils SSH backdoor

Prelekcja
Łukasz Kędziora

Łukasz Kędziora

Łukasz Kędziora jest inżynierem oprogramowania w zespole Tools w Antmicro, gdzie zajmuje się tworzeniem i utrzymywaniem narzędzi open source wykorzystywanych w rozwijaniu systemów embedded. Jego doświadczenie obejmuje rozwój systemów typu Linux oraz tworzenie i zautomatyzowane testowanie oprogramowania przeznaczonego dla urządzeń wbudowanych z ograniczoną ilością zasobów.

Czas: 12:10 - 13:10

Miejsce: Sala A

Ścieżka: Prelekcje #1

Choć zawsze powinniśmy weryfikować zależności naszych programów pod kątem bezpieczeństwa, w praktyce trudno jest w pełni przewidzieć długofalowe skutki dodania biblioteki do naszego stosu technologicznego. W tej prezentacji przyjrzymy się przypadkowi tylnej furtki (backdoora) w otwarto-źródłowej bibliotece liblzma, której celem było przejęcie kontroli nad OpenSSH na podatnych systemach. Przeanalizujemy w jaki sposób złośliwy kod trafił do popularnych dystrybucji Linuksa, oraz jakie techniki zastosowano, aby ukryć jego obecność w publicznym repozytorium projektu xz-utils. Omówimy możliwości, jakie backdoor dawał nad przejętym systemem, oraz w jaki sposób mógł zostać wykorzystany przez atakujących, gdyby nie został wykryty.

Kategorie:
  • Programowanie
  • Bezpieczeństwo
  • Hacking