CS50 Introduction à la cybersécurité – Projet final

Étude de cas : Backdoor XZ Utils (CVE-2024-3094)

Ce dépôt complète ma présentation de 7 à 10 minutes sur le backdoor XZ Utils, incluant un récapitulatif du backdoor, le mécanisme d'introduction du backdoor via les tarballs de publication, ainsi que les mesures d'atténuation pertinentes pour la chaîne d'approvisionnement.

Contenu

• Diapositives (PDF) : A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• Références : ./References.md
• Vidéo (non répertoriée) : youtube-link

Points clés

• Tarball ≠ Git : appliquez la parité artefact–tag dans le CI ; échouez en cas de divergence.
• Durcissement de la chaîne d'approvisionnement : attestations (in-toto), SBOMs, SLSA ≥ L3, revue à deux personnes.
• Détection et reprise : surveillez les comportements anormaux de sshd/l'interposition de symboles ; conservez des playbooks de rollback testés.

Aperçu de l'incident

• CVE : CVE-2024-3094
• Quand : mars-avril 2024
• Impact principal : risque pour l'authentification SSH via une chaîne de dépendances indirecte (ex. sshd → libsystemd → liblzma)