« Que peut-on faire pour protéger les développeurs de logiciels open source du prochain scandale de backdoor xz? »

Bouilloire Il y a eu environ une semaine depuis la découverte choquante d’une porte dérobée cachée et vraiment sophistiquée dans la bibliothèque logicielle xz qui est normalement utilisée par d’innombrables systèmes. Une machine infectée aurait permis à quelqu’un ayant connaissance de la porte dérobée de prendre le contrôle à distance de la boîte via son démon SSH. Bien que la dépendance – empoisonnée par un contributeur malveillant – se soit infiltrée dans certaines distributions Linux de pointe ou à sortir prochainement, tels que Debian Unstable, Fedora 40 et Fedora Rawhide, elle a été repérée et contrecarrée avant d’être largement déployée, ce qui aurait pu être une catastrophe. Est-ce un exemple de fragilité ou de force du code source ouvert ? Que pouvons-nous faire pour sécuriser des morceaux de code populaires qui se retrouvent dans une multitude d’applications et de serveurs ? Est-ce que les multinationales qui profitent du travail gratuit des autres doivent intervenir pour aider ici ? Notre série Bouilloire est de retour pour que nos journalistes en discutent exactement, ce que vous pouvez regarder ci-dessous. Cette semaine, nos invités sont Thomas Claburn, qui a couvert le quasi-fiasco de xz pour nous ; Jessica Lyons, rédactrice en cybersécurité pour The Register ; notre rédacteur en chef Chris Williams ; et votre animateur Iain Thomson. Cet épisode a été produit par Brandon Vigliarolo. En plus de rejouer notre discussion dans le lecteur ci-dessus, vous pouvez écouter via votre distributeur de podcasts préféré : RSS et MP3, Apple, Amazon, Spotify et YouTube. N’hésitez pas à partager également vos opinions dans les commentaires. ®