Eine Backdoor im kleinen Kompressionsprogramm XZ sorgte 2024 für ein großes weltweites Sicherheitsproblem und stieß eine Diskussion um überlastete Maintainer an. Den kompletten Vorfall arbeitet jetzt Adrian Mastronardi penibel in seinem kostenlosen E-Book auf.

Der Microsoft-Entwickler Andres Freund wollte eigentlich nur schnell einen Datenbank-Benchmark ausführen. Das Einloggen auf dem entfernten Server dauerte jedoch plötzlich rund eine halbe Sekunde länger als üblich. Als er dieser Verzögerung auf den Grund ging, entdeckte er zufällig eine Backdoor in XZ – und damit einem Kompressionsprogramm, das weltweit auf unzähligen Systemen zum Einsatz kommt.

In seinem Buch „Half a Second“ arbeitet Adrian Mastronardi nicht nur die spannende Entdeckung der Backdoor auf, sondern erklärt auch, wie die Angreifer das Vertrauen des ausgelaugten XZ-Maintainers erschleichen konnten, wie sie ihre Hintertür verschleierten und welche Lehren man aus diesem Angriff ziehen kann. Adrian Mastronardi seziert in leicht zu lesender englischer Prosa detailliert das komplette Drama und seine Folgen. Er geht dabei auch auf die technischen Hintergründe ein, ohne jedoch Lesern Quellcode vorzusetzen.

„Half a Second“ steht unter der Creative-Commons-Lizenz BY-NC-ND 4.0. Sie gestattet die kostenlose Lektüre, untersagt aber einen kommerziellen Einsatz und die Weitergabe von geänderten Fassungen. Wer das Buch nicht online lesen möchte, kann es als PDF oder EPUB herunterladen. Für die im PDF-Format insgesamt 264 Seiten sollte man allerdings entsprechend viel Lesezeit einplanen.