Bài viết

Anh em chắc vẫn còn nhớ vụ lùm xùm lỗ hổng bảo mật lịch sử XZ Utils (CVE-2024-3094). Ờ thì... nó nguội lắm rồi nhưng giờ mình vừa tìm được video có thể nói là giải thích dễ hiểu nhất về nó đây! Và video có tiếng Việt nhé!

Vụ việc này là về một kẻ tấn công giấu mặt đã mất nhiều năm trời gầy dựng niềm tin, thao túng dự án mã nguồn mở để cài backdoor vào OpenSSH trên các bản phân phối Linux lớn như Fedora, Debian hay Ubuntu. Mình vừa xem xong video phân tích của Veritasium về chuyên án này, phải công nhận là làm cực kỳ hay và chi tiết.

Video tái hiện lại rất rõ chiêu trò thao túng tâm lý (social engineering) khi hacker liên tục tạo áp lực lên nhà phát triển duy nhất của dự án nhằm chiếm quyền duy trì mã nguồn. Bên cạnh đó là sự tinh vi đến đáng sợ của đoạn mã độc khi nó biết ẩn mình để qua mặt hàng loạt quy trình kiểm định khắt khe của cộng đồng. Sự cố này cũng nhắc chúng ta về yếu tố may mắn, khi toàn bộ hạ tầng Internet được cứu vớt chỉ nhờ sự tinh ý của một kỹ sư Microsoft lúc anh phát hiện ra độ trễ 500ms bất thường trên máy chủ.

Đây thực sự là một bài học đắt giá về mô hình bảo mật cũng như tính bền vững của các dự án mã nguồn mở mà chúng ta vẫn đang dùng hằng ngày. Anh em làm sysadmin hay dev rảnh rỗi nên ghé qua xem lại case study này, đảm bảo cuốn từ đầu đến cuối!

link "yêu từ bé"để các anh em xem video nhé!

link wiki cho anh em thích đọc nhé!