«Half a Second»: бэкдор в XZ наконец-то рассказывает свою историю в книге

Подробное повествование об атаке на XZ Utils, опубликованное в формате книги. Возвращение к инциденту, который едва не скомпрометировал большинство серверов Linux — и что, по-видимому, предлагает книга.

Факты

Вышла книга под названием « Half a Second », посвящённая атаке на XZ Utils (источник: half-second.com, замечена на Hacker News 19 июля 2026 года). Название отсылает к задержке — половине секунды, — которая насторожила инженера Андреса Фройнда и заставила его расследовать подозрительную медлительность в его окружении Debian.

Напоминание контекста. Атака XZ (обозначена как CVE-2024-3094) была раскрыта в конце марта 2024 года. Участник под псевдонимом «Jia Tan» на протяжении почти двух лет терпеливо завоёвывал доверие сообщества XZ Utils, получил права мейнтейнера и затем внедрил бэкдор в версии 5.6.0 и 5.6.1 библиотеки. Эта потайная дверь целенаправленно атаковала OpenSSH через сложную цепочку зависимостей (systemd → libsystemd → liblzma) и позволила бы злоумышленнику, знавшему закрытый ключ, выполнять произвольный код на любом устройстве с уязвимым SSH-сервером.

Что, судя по всему, даёт книга

Согласно странице с описанием, в книге рассказывается о:

• Долгосрочной работе атакующего (два года легитимных вкладов), чтобы укрепить свою репутацию в проекте.
• Психологическом давлении на исторического мейнтейнера, Лассе Коллина, в том числе с помощью подставных личностей на рассылке, которые требовали более быстрых релизов.
• Хронике обнаружения атаки Андресом Фройндом и гонке на время, чтобы предотвратить интеграцию в стабильные дистрибутивы (Fedora Rawhide, Debian sid, openSUSE Tumbleweed уже были заражены).

Анализ

Афера с XZ остаётся на сегодняшний день самым совершенным примером атаки цепочки поставок на свободное ПО. Кажется, книга стремится задокументировать — и это полезно — социальную сторону атаки: манипуляцию одиноким, измотанным мейнтейнерам, постепенное построение доверия, использование фейковых аккаунтов для давления на выпуск. Код здесь почти на втором плане.

Два урока, которые всё ещё актуальны в 2026 году:

1. Одинокий мейнтейнер = системный риск. Любой стратегически важный свободный проект должен иметь как минимум двух активных мейнтейнеров и чёткий план преемственности. Об этом давно напоминает OpenSSF (Open Source Security Foundation).
2. Обнаружение произошло благодаря любопытному разработчику. Ни один автоматизированный инструмент не поднял тревогу: это инженер (Фройнд работает в Microsoft над PostgreSQL), который удивился, почему SSH отвечает на 500 мс дольше. Культура наблюдаемости окупается.

Что делать сейчас

• Проверь, что твоё оборудование обновлено до последней версии XZ Utils (патчи от дистрибутивов с апреля 2024 года). Это должно быть сделано, но до сих пор встречаются плохо обновлённые машины, особенно на кастомных сборках или замороженных ВМ.
• Для собственных свободных проектов: проведи аудит своих мейнтейнеров и критически важных зависимостей. Инструменты вроде deps.dev (Google) или программа Alpha-Omega от OpenSSF дают быстрый обзор состояния цепочки поставок.
• Прочитай книгу, когда она выйдет: такие кейсы, как этот, редки и ценны для обучения команд распознавать паттерны социальной инженерии.