CS50 Введение в кибербезопасность – Итоговый проект

Тематическое исследование: Бэкдор XZ Utils (CVE-2024-3094)

Этот репозиторий содержит материалы для моей 7–10-минутной презентации о бэкдоре XZ Utils, включая обзор бэкдора, механизм внедрения через tarballs релизов и соответствующие меры защиты цепочки поставок.

Материалы

• Слайды (PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• Ссылки: ./References.md
• Видео (неопубликованное): youtube-link

Основные выводы

• Tarball ≠ Git: обеспечьте соответствие артефакта и тега в CI; при любом несоответствии — отказ.
• Укрепление цепочки поставок: аттестации (in-toto), SBOM, SLSA ≥ L3, двухпарное рецензирование.
• Обнаружение и восстановление: мониторинг аномального поведения sshd / перехвата символов; сохраняйте проверенные планы отката.

Краткая сводка инцидента

• CVE: CVE-2024-3094
• Когда: Март-апрель 2024
• Основное воздействие: риск аутентификации SSH через косвенную цепочку зависимостей (например, sshd → libsystemd → liblzma)

Благодарности