「半秒」：XZ 后门终于在一本书中讲述了它的故事

Le récit détaillé de XZ Utils 攻击以书籍形式发布。回顾这一险些危及大多数 Linux 服务器的事件——以及这本书似乎带来的启示。

事实

一本名为《半秒》的书，专注于针对 XZ Utils 的攻击，近日被宣布出版（来源：half-second.com，于 2026 年 7 月 19 日在 Hacker News 上被发现）。书名指的是那半秒的延迟——正是这半秒让工程师 Andres Freund 起了疑心，进而调查其 Debian 环境中可疑的运行缓慢问题。

回顾背景。XZ 攻击（编号 CVE-2024-3094）于 2024 年 3 月底被披露。一位化名「Jia Tan」的贡献者在近两年的时间里，耐心地赢得了 XZ Utils 社区的信任，获得了维护者权限，随后在库的 5.6.0 和 5.6.1 版本中植入了后门。该后门专门针对 OpenSSH，通过一系列精妙的依赖链（systemd → libsystemd → liblzma）实现，若攻击者掌握特定私钥，便可在任何暴露 SSH 服务器的易受攻击机器上执行任意代码。

本书的贡献

据其介绍页面显示，该书记述了：

• 攻击者长期潜伏（两年合法贡献）以在项目中树立声誉的过程。
• 对历史维护者 Lasse Collin 施加的心理压力，尤其是通过邮件列表上的同谋虚拟身份，催促其加快发布进度。
• Andres Freund 的检测过程，以及为在集成至稳定发行版前（Fedora Rawhide、Debian sid、openSUSE Tumbleweed 已中招）解除威胁而进行的争分夺秒。

分析

时至今日，XZ 事件仍是针对开源供应链攻击的最完美案例。本书似乎试图——且确实有用——记录攻击的社交层面：对单一维护者的操纵、逐步建立的信任、利用虚拟账户施压发布。代码几乎是次要的。

两条在 2026 年仍具现实意义的教训：

1. 单一维护者 = 系统性风险。任何关键的开源项目必须至少有两名活跃维护者，并制定明确的交接计划。这正是 OpenSSF（开源安全基金会）长期以来的提醒。
2. 检测源于一名好奇的开发者。没有自动化工具发出警报：正是一位工程师（Freund 在微软从事 PostgreSQL 工作）发现 SSH 响应时间多了 500 毫秒。可观测性文化终有回报。

当下行动

• 确认你的资产中 XZ Utils 已更新至最新版（自 2024 年 4 月起各发行版已提供补丁）。这本该完成，但仍能看到不少未打补丁的机器，尤其是在自定义重建或冻结的虚拟机上。
• 对于你自己的开源项目：审计维护者及关键依赖。Google 的 deps.dev 或 OpenSSF 的 Alpha-Omega 计划等工具可快速了解供应链健康状况。
• 等本书出版后阅读：此类案例研究稀缺且珍贵，有助于培训团队识别社交工程的模式。