Die Backdoor in der XZ-Bibliothek zeigt einmal mehr, wie fragil die hoch technisierte Welt aufgestellt ist und wie wenig wir aus der Vergangenheit gelernt haben.
Am Freitag, dem 29. März, entdeckte der Microsoft-Entwickler Andres Freund per Zufall eine Unregelmäßigkeit beim Starten des SSH-Daemons: Eine Version benötigte mehr Ressourcen und Zeit, um zu starten als eine andere. Das veranlasste ihn, die Community in einer Security-Mailing-Liste darauf aufmerksam zu machen. Recht schnell stellte sich heraus, dass es sich um eine ausgeklügelte Backdoor in der vom SSH-Daemon verwendeten Bibliothek Liblzma aus dem Paket XZ Utils handelt. Wäre sie nicht entdeckt worden, hätte das fatale Folgen gehabt: Sie wäre quasi ein Generalschlüssel für die Angreifer gewesen, um die Kontrolle über alle Rechner zu übernehmen, die diese Bibliothek verwenden.
Ein weiteres Beispiel zeigt, wie leicht es wäre, Open-Source-Projekte zu missbrauchen. Es betrifft die Bibliothek WiringPi zum Zugriff auf die GPIO des Raspberry Pi, die von vielen Anwendungen auf dem Kleinstrechner genutzt wurde und damit auch ihren Weg in den Mainstream fand. Sie kam auch in diversen Profi-Projekten zum Einsatz. Im August 2019 kündigte der Maintainer und einzige Entwickler Gordon an, das Projekt aufzugeben. Auf seiner Webseite begründete er den Schritt damit, dass er außer Kritik und Anschuldigungen nichts für seine Arbeit erhalten habe. Einer unserer Autoren setzte sich damals mit Gordon in Verbindung, der ihm sofort anbot, das Projekt an ihn zu übergeben. Es liegt auf der Hand, wie leicht es in einem solchen Fall wäre, die Software für eigene Zwecke einzuspannen. Das Beispiel verdeutlicht auch ein Grundproblem der freien Softwareentwicklung: Jeder möchte davon profitieren, aber nur sehr wenige erklären sich bereit, eine Gegenleistung zu erbringen. Linux ist aus der IT-Welt nicht mehr wegzudenken, doch außer den Unternehmen, die sie dankbar einsetzen, profitieren nur wenige davon. Ein möglicher Ansatz wäre, einen Fonds zu gründen, in den auch die großen Profiteure einzahlen und dessen Erlös an die Entwickler verteilt wird.
Einmal mehr zeigt sich, wie fragil unsere hoch technisierte Welt inzwischen geworden ist. Niemand weiß, ob weitere Backdoors wie die in den XZ Utils schon unentdeckt im Umlauf sind. Ob der Vorfall zu einem geschärften Problembewusstsein bei allen Entscheidern geführt hat, darf man getrost bezweifeln: Offensichtlich hat sich die Sicherheitslage seit Heartbleed, einer eklatanten Sicherheitslücke im OpenSSL-Projekt vor zehn Jahren, nicht entscheidend verbessert.
Doch das alleine quelloffener Software anzukreiden, wäre zu kurz gegriffen. Im Gegenteil: In Closed-Source-Software wäre der Fehler sicherlich nicht so schnell entdeckt und beseitigt worden, wenn er denn überhaupt aufgefallen wäre.
Herzliche Grüße,
Thomas Leichtenstern
Redakteur
