Die XZ-/OpenSSH-Backdoor und ihre Auswirkung auf die Software-Supply-Chain

Die Backdoor in XZ/OpenSSH wurde gerade noch rechtzeitig entdeckt. Aber nicht mithilfe der typischen Tools und Methoden zur Absicherung der Software-Supply-Chain, sondern durch einen glücklichen Zufall. Das bedeutet im Umkehrschluss, dass die Tools und Methoden nicht ausreichend sind.

Im ersten Teil des Vortrags wird nachgezeichnet, wie die Backdoor in einer mehrjährigen Aktion im XZ-Projekt platziert wurde. Zudem werden die technischen Details erklärt, wie mittels einer Backdoor in XZ OpenSSH angegriffen werden kann.

Im zweiten Teil des Vortrags diskutieren wir, was das für die Zukunft von Software-Supply-Chains bedeuteten kann und welche Lehren wir daraus ziehen sollten.

Vorkenntnisse

Grundlegende Kenntnisse der Tools und Methoden zur Absicherung der Software-Supply-Chain.

Lernziele

Die Teilnehmer:innen sollten nach dem Vortrag wissen, wie die Backdoor platziert wurde, wie sie technisch funktioniert und was mögliche Konsequenzen für die Software-Supply-Chain-Security sein können.