[讨论] 如何减少 Xz Backdoor 类似问题的发生

[xinbaoCode]

不知道大家有没有看过这篇帖子关于 xz 被恶意开发者注入，导致 linux 发行版有漏洞，可 ssh 连接用户服务器？🐶 https://boehs.org/node/everything-i-know-about-the-xz-backdoor

今天早上思考了一上午这种 xz 开发者恶意投毒的问题如何解决🤔，目前想到一个方案，去中心化存储，下载别人的发布的系统(例如 linux)需要支付一笔 gas(包含保险费)费，如果有恶意投毒，那么可以要到赔偿，我们将所有知名的项目都开发一条链，允许他们发一些 NFT 等，从而可以赔偿。🐶

这些链的的合约有保险触发机制，当大家投票都认为这个项目是恶意的，那么会自动触发这个项目不停生成 NFT 直到赔偿所有用户的损失，虽然这会导致这个项目的贬值，这样就达到了对开发者约束的目的，从而让他们不得不非常谨慎 review 代码🤔，因为这次 xz 攻击，攻击者看项目方去度假了，以及测试时间不充分。🤔

大家觉得如何？🤔

[lonelykid]

开源项目本来就是大家自备干粮全凭爱好在做，你整这些没人会跟你玩的。
解决方法也只有加强 review ，有任何疑点都要 commit 方解释清楚，最好引入 AI 审查代码。

[yumusb]

简单，不升级即可。

[Dynesshely]

不怎么样, 开源本身是不求回报的行为, 如果通过这种方式来约束开发者, 会极大地降低开发者地开发积极性
换句话说, 人家都免费给你用, 出了事情当然你自己负责, 当然, 大家对该项目的信任会大打折扣

我对这个事件的思考是: 我们应该重新思考开源行业中的信任链, 即我们是否应该完全信任第三方的代码

目前整个开源行业都是依靠信任维系的, 大家信任 Linux 发行版的发行商, 所以使用 Linux 发行版; 发行商信任第三方程序, 所以默认包含并依赖这些程序; 第三方程序库作者信任积极贡献者, 所以允许 TA 成为维护者
这就导致这次攻击几乎是非常成功而且影响极大

但鄙人见识浅薄, 并没有想出更好的办法来避免这类攻击事件的再一次出现 (毕竟就算防住维护者, 也不能保证库作者本人不会写出某些 bug 导致出现可被攻击的漏洞

[yolee599]

那干嘛不直接买商业系统呢？这样还有售后服务，出问题也是卖方负责赔偿

[xinbaoCode]

@lonelykid 如果这样呢，开发者成为有人气的项目后，可以铸造自己的链，这样就解决了开源者难赚钱的问题。而且激励了大家。🤔

[agagega]

不要试图用技术解决人的问题

[xinbaoCode]

@Dynesshely

[xinbaoCode]

@xinbaoCode #7
不好意思，刚刚点错了，发布为空 。
1. 对于激励开源，开发者成为有人气的项目后，可以铸造自己的链，这样就解决了开源者难赚钱的问题。而且激励了大家
2. 对于开源行业中的信任链，我们用区块链与信任链绑定，如果大家投票都认为这个项目是恶意的，那么会自动触发这个项目不停生成 NFT 直到赔偿所有用户的损失。这样就更深的加固了信任。

[james122333]

没想到我刚讲 systemd 就有人爆出来了...
要讲的话就是选技术很重要 首先虽然 xz 压缩率高但效能差本身就不是非常好的选择
过於开放的社区副作用也在此 每次看到有人在嫌社区不够开放我都在想是不是想搞事
好的东西自然会考虑合进去

[yankebupt]

二楼是指 LTS/LTSC?
不升级，只升级必要的包，打补丁而不是发新版本……一个版本用 10 年……

两个问题：
一个是编译脚本被 review 忽视掉了。一般人谁看那个啊
一个是测试用二进制数据并不是真的随机数据而且也没有公布生成用的随机/处理算法导致被挂马

综上应该做一次清查用 AI 扫所有的编译脚本有疑虑的提交人工 review ，然后要求所有直接提供的二进制提供来源或生成算法或签名

头疼医头脚痛医脚

[ihuotui]

0day 没有人发现怎么都没有知道，这些是国家级的行动钱只是数字

[vcn8yjOogEL]

持续审核配合可复现构建, 审核完毕才会进入核心系统仓库
需要快速迭代的用户程序用 SELinux 等技术套沙箱, 尽可能缩小受击面

[ericFork]

为啥什么都要往链上靠

[GeekGao]

技术无法解决人性问题。
要想防安全风险，就要有个负责任的法律实体来兜底，这也是为啥很多国企和政府采购商业公司的产品而非部署开源代码搞平替。

[Rrrrrr]

这不是你要考虑的问题

[cdlnls]

实名制提交代码，实名制开源，再加上公安局备案机制。手动狗头

[onion83]

楼主玩币玩到魔怔了。。

[leonshaw]

每个项目一条链，项目崩了还有人给你的链接盘？

[adoal]

这是餐桌上的人玩的游戏。菜单上的化石生死看淡，听天由命吧。

[skies457]

"如果有恶意投毒，那么可以要到赔偿"

呃。。