🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Атака Томпсона через strip: заражена вся сборка NixOS
Исследователи собрали классическую атаку «доверия к доверию» вокруг GNU strip, обычной утилиты сборки. Она не читает исходники и не генерирует код — только правит готовые ELF-файлы.
Один подменённый strip в бинарном зерне NixOS переживает весь бутстрап и попадает в финальное окружение. На реальной ревизии nixpkgs так собрали графический установщик с бэкдором почти во всех бинарниках.
Вывод неприятный: аудита компилятора мало, доверять надо каждому инструменту в цепочке сборки. Спасают только воспроизводимые сборки и разнообразие бутстрапа, но полного bootstrap from source пока нет почти нигде.
🔗 Подробнее
@nuancesprog #Security #Linux