“白嫖”开源的后果就是供应链攻击么？

二零二三年四月二十二日，

一场二十四小时不间断的播客马拉松鸣枪起跑。

在阿那亚的海边，

用声音丈量世界的长度。

二零二四年五月十八日至十九日，

声亮的 partofboys 再度出发，

航行于阳光映照的大海，

不问来路与归途。

声亮期待多元观点的碰撞，

鼓励自由意志的表达。

在潮起潮落中，

与博客共振津津乐道，

邀请你一同加入这场一年一度的音乐盛会。

第二届声量 thepowerofvoice 以 rightnow 为主题，

允许你胡闹，

瞎闹小打小闹，

但不能容忍你不吵不闹。

五月十八日，

二十四小时二十家对谈点位一百家场开放，

对谈，

逃离日常生活，

剥离社会身份。

这里没有权威和大师，

只有真诚表达的普通人。

五月十九日，

还有多场线下活动等待大家来解锁。

届时，

津津乐道的主播们也会参与到对谈与线下活动中来。

在阿那亚的海边，

任思绪漫游，

让思想交汇 rightnow。

不要在房间里踱步去和真实的世界相拥。

这世界从不缺乏激情澎湃的表达者，

但缺少坚定不移的实践家。

在下风轻盈而微热的白昼或夜晚，

让我们一起打破中文博客现有的边界，

用语言和知识探索真实的附近和远方。

嗯，

本节目由津津乐道制作播出，

应该有各位听友大家好，

这里是津津乐道与 rt 开发者社区联合制作的博客节目编码人生啊。

我们好久不见了啊，

这期我们想聊一个开发者圈子，

最近非常非常关注的一个话题，

就是某个开源的库被投毒。

这件事情其实由这件事情引出了一个什么问题呢？

就是供应链软件供应链安全的问题，

以及开源项目的安全的问题。

今天想找几位专家啊，

好好跟大家深入的讨论讨论这件事情。

那首先来介绍一下我们今天的嘉宾吧。

第一位呢是江宁老师，

江宁老师是阿帕奇软件基金会。

二零二二二零二三二零二四的年度董事大家好，

我是江宁，

很高兴来编码人生，

跟大家聊聊跟程序员相关的话题。

哎，

你也有一档博客节目，

允许你做个推广是吧？

那就太好了，

因为我在阿帕奇时间比较长一点了，

然后我们就成立了这个阿帕奇本地社区，

有英文名，

就是说 alc 呃，

然后因为是在北京嘛，

就叫 alc 北京的一个博客节目。

然后主要是跟大家聊聊跟开源，

跟程序员自身的这个发展。

然后还有一些哦阿帕奇项目相关的一些话题啊，

欢迎大家关注啊，

欢迎大家关注和订阅是吧？

好，

那我们下一位的嘉宾啊是杨木天老师，

他是北京中科微蓝科技有限公司的 ceo 开放原子开源基金会开源安全委员会安全平台工作组的组长。

你看专门搞开源安全的大咖，

被我们今天请来了。

来，

杨老师介绍一下自己吧。

嗯，hello，大家好，

我是杨木。

天然后刚才这个抬头名字比较长哈。

然后我呢主要在做这个开源安全的相关方向。

那之前的话呢也主要是在做一些开源的操作系统，

还有开源的软件的安全啊，

包括现在也在做一些开源社区的一些安全相关的工作。

那很高兴来到编码人生，

和大家一起分享相关的话题，

谢谢大家好，

谢谢杨老师啊，

我们还有一位老朋友小白。

大家好，

我是来自 rte 开发者社区的布导师小白啊，

你抬头又换了。

是的，

现在我是 rte 开发者社区的布导师，

你来一次节目，

你换一次抬头，

这太不像话了，

这样才能给大家一点点新鲜感啊，

这不是惊悚感吗？

啊，

那不会呢今天想跟大家聊聊这最近发生的这几件让大家心惊肉跳的事情啊，

开发者有点儿心惊肉跳。

但是在这讨论之前啊，

肯肯定会有一些同学刚刚打开电梯是吧？

不知道这件事的前因后果，

那我想请这件老师啊给大家说说这件事情的前情提要到底是怎么发生的，

这个过程是怎么样子的？

细节的话，

我我我细节咱可以略过，

咱得讲个大概的情况是吧？

好好这么来说吧，

就是大家平常用到的这种操作系统，

实际上里面包含了大量的这种开源软件。

然后呢，

开源软件的维护呢很可能的情况就是呃一个人哎已经很累了，

然后极力想找一个接班人，

然后来去把这个活儿接着做下去。

嗯，

那我们最近提到的这个 xc 这个组件，

实际上就是存在着这么一个事情。

其实它是一个压缩软件啊，

就是在呃项目的维护过程中，

然后存在的一个被投毒的一个现象，

就是啊有贡献者。

然后在日常的维护代把时候放入了一些就后门的一些程序。

然后呢，

项目的开发人员其实没有发现。

一般来说我们其实提交代码的时候，

都是会有那个比较详细的那个 review 的那个过程。

嗯，

但我们 review 的时候，

一般都是 review 这个源代码，

嗯，

就比较容易能看出来。

但是呢他在里面提交的时候，

他提交了一个二进制混进去了啊啊那实际上就是我们也有大量的这个讨论，

实际上就是后续我们二进制这块是不是要做一些更深入的一些检查。

嗯，

因为通过人的肉眼，

其实是很难去判断这方面的事情。

对，

那可能跑跑沙河啊之类的跑一下呃，

跑一下创新方范围。

我觉得另外一方面就是我们可能要通过代码去生成这种二进制。

然后这样的话呢，

他能就是能真正的是知道他的那个细节问就是你提交的也应该是生成这个二进制的代码，

而不是二进制本身。

对，

因为二进制我们其实没有办法去做 review 的这个事情，

所以我觉得这也敲敲响了一个警钟。

然后呢，

其实他就用了一些很特别的一些手段去绕过日常的一些检查啊，

就导致于这个包升级了之后，

马上就要进入到那个发行版。

不过好在这个社区里面总会有人就是呃做大量的测试，

然后发现诶这个怎么我平常这个跑的时候这个性能变差了，

然后他就是挖了一圈，

哎，

然后发现了这个问题，

然后社区里面就咔咔爆起来，

然后大家一一通的这个追查，

然后去去把这个相当于是把这个包降级了之后，

然后去恢复一个正常。

就是我觉得对业界来说，

其实可能影响还相对来说可控，

至少就是说没有进发行版。

呃，

发行版可能有些已经就进了，

因为它有些可能会比较激进一点。

就是先建单主流的这个发行版应该还没有没有怎么进，

但是它还是会有些影响。

比如我就那个 markmark 电脑，

我们用那个啊 blueinstall 的时候，

实际上就是存在这个问题，

然后赶紧紧，

然后那个什么很多麦克用户都疯了。

对对对对，

其实你也需要去及时的去把这个补丁一下下来。

实际上我们是做一个降级的一个操作，

然后去恢复到原来的那个没有被污染的那个版本。

啊，

总的来说的话呢就是啊我们用的这种开源软件，

然后被一个啊我们现在也很难嗯揣测啊，

就是被人恶意的做了一些啊不好的一些事情。

然后呢，

呃我觉得今天我们能坐在这聊这个问题，

就是一个挺好的一件事情。

就是说因为出现了这个事情是，

所以让我们更好的去关注这个事情。

嗯，

然后呢我们去探讨探讨有没有一些更好的一些人啊办法来去解决这个问题。

嗯，

然后在此之前实还有一件事情，

就是啊可能两三年前的这个老佛界界的这个事情，

因为我在阿巴西软基会，

所以我算是一个这个事也很著名了。

啊，

当时闹得更大对，

因为 love 界的话其实就是 log 的话，

它是各个后台业务系统其实都会要用的。

嗯，

所以这个比刚才我们说的这个 xz 的这个事件其实会更大。

因为它它已经把软件 shape 到具体的服务器里面了，

就是这个洞它一直可能很长时间，

包括现在可能都还会存在。

嗯，

那在这个过程中就很容易被别人利用。

然后呢，

好在反正就是说大家发现那这个问题，

但是但最开始的时候，

这个时间也赶的不好，

正好赶上那个圣诞节期间，

然后大家其实都在都想要休息。

嗯，

然后就因为我我也回看了一下历史，

就是呃因为阿巴奇这边的话捞个捞 p 呃捞佛界的这个 pmc 人其实并不多，

就三四个人。

然后那段时间那两个月的邮件翻番，

然后就各种人就是其实也都是在尝试。

然后我们修了这个 bug 之后，

然后马上就有人来说，

你这个修的不不完备啊，

然后还得还得继续再来改，

就反反复复好几次。

然后的话呢嗯另外可能政府那边嗯就不不光是美国政府，

中国政府可能都各国政府都在关注这方面的事情，

因为它的影响实在实在太大，

属于核弹级的这个漏洞问题。

那在这个过程中，

我觉得大家可能也是意识到了，

就是我们的开源软件并不是说绝对的安全，

而且还有很多很多的这种情况，

实际上是大家是忽略掉的。

嗯，

啊就是我们在使用的过程中，

我们可能就觉得哎大家大家都在用这个，

呃，

应该是安全的吧。

对对对，

应该是安全的。

因为我们也也没付钱，

是你也没有办法理直气壮说哎，

你为什么会有问题？

对，

就是出问题的话，

你也去很难去找到人。

呃，

所以我觉得就是有这解决事之后，

然后我们其实也是想跟业界里面多呼吁呼吁，

然后让大家多关注关注就是我们的这种啊开软件供应链安全这方面的这些事情。

只有大家真正真正的去关注到这些事情的时候，

才能有更好的这个解决方案出来。

我帮助小白的不是帮助你啊，

那个帮助比较小白的听友们问一句，

比如说我们这次的 xz 这个它是明显的是一个恶意行为了。

它其实不应该是我写错了代码导致的一个 bug 造成的。

是但是这种恶意的行为，

这种恶意的代码是所有人都能往开源嘛。

我们顾名思义，

所有人可能都可以往里提交。

那它为什么就被采信了，

他就进去去了呢？

就被合并进去了呢。

对你这提了一个很好的一个问题。

其实我们在这个开源圈里面的话，

其实大家是存在一个信任的一个建立过程。

嗯，

一般来说的话就一个陌生人，

你到一个陌生的一个社区里面，

你要第一次提交的这个代码，

其实是会被人就比较自在的去看的 review 的。

而且我们很多的这种开发者其实都会有这个第一次，

他第一次体验是相当不好的。

以前我有一些同事啊，

就是是刚毕业的那个小伙儿，

然后嗯他们有一次那个体校就第一次提交，

花了差不多一个月的时间，

然后前前后后两百多次 comment。

嗯，

呃不过他提了那个相来说相对复杂复复杂一点啊，

就是 open 不是改个标点符号的啊。

对，

不用改标点符号就复杂一点，

可能两三百行的 c 加加的兴趣，

然后就会有大量人人工的这种 review。

而且我觉得这是看社群里面一个很好的一个 practice。

那基本上就是你所有提到的代码都会被 maintain 的很仔细的。

在因为我自己也做过 readtent 的，

就是呃一般来说就别人提到的代码，

我会很仔细的跑测试，

然后呢再去看有没有一些常见的一些问题。

因为最后如果就是我 merge 进去了之后，

后续的维护工作都是我的，

就我们肯定不想给自己挖坑。

然后呢，

我们其实也大部分都是靠测试来去保证。

刚才那个我们提到那个问题呢，

实际上它是做了一些小手段。

我觉得后续的话，

我们可能就就这方面可能会更加强一些。

就是嗯常规的这种啊代码的这种审查的话，

我们是靠人眼去看，

但是也会带来一个问题。

如果你提到的代码很多，

比如上千行了，

实际上人家根本都看不过来了。

对呀，

像这种的话，

我们也倾向于就是拒绝，

就是你最好分段一段一段的来提醒。

但是另外的话就刚刚提到，

如果还包含那个二进制的话，

其实我们也会很害怕了，

现在已经出了这事儿了。

对对对，

人家更害怕了。

对，

对对对，

在这个情况下，

那就得要跟仔细的来来考虑。

因为我我们刚刚也提到了，

我们可能要用程序的方式来去生成二进制来去跑对应的一些测试啊，

因为他刚刚他也是啊压缩的那种啊软件嘛。

其实我们要写测试的时候，

他需要为一些数据进去，

这种可能也是难以避免的。

只不过就是说在这个过程中，

可能需要维护人员，

就是需要更仔细，

然后尽量的去避免出现这种情况，

但这种情况真的是很难杜绝的。

嗯嗯，

然后刚才说的就是嗯这个新人的关系，

就是你第一次第二次第三次，

哎，

提的代码都挺好的。

哎呀，

这个时候我们在社区里面可能就会要给你一个 regulation，就是要认同你。

然后我们可能就会邀请你成为这个项目的 commenter。

嗯，

然后后续你要继续再做开发，

再做的更好一些的话，

那我们可能会邀请你成为对应的 maintained，其实就是发展下线。

在这个过程中，

我觉得其实都是一个很正常的一个，

它都是基于一个历史信任的关系。

对对，

对对对，

因为在开源圈里面一旦你作恶，

其实你这个人这个账号可能就就永远打不入冷宫了。

但是这里有一个问题啊，

这个账号它并不是实名的，

对它可以无限重生啊，

其实它背后的人可能他会换掉。

嗯，

然后但那个账号就是你用这个账号去提交的话，

他会存在这个问题。

我的意思是说，

比如他今天在 sa 里面去做了一个恶意的事情，

我们知已经知道他的账号是这啊，

我明天他再注册一个账号去潜入了其他项目上，

你是没有办法规避这点。

但你要搞清楚他做这件事情，

其实他花了很大的时间成本。

他如果是一个团队呢哦这个可能会是一个问题。

还有一个就是有些人就是我们正常的这种开发人员去做开发了，

然后我积累了很好的 credit，但我账号被盗了啊。

对啊，

也会有这个问题。

其实对于我来说，

我做阿帕奇的这个 release 的时候，

就是会特别小心的去看我的这个 private 里，

一定要藏到一个很好的一个地方，

防止就被别人盗掉嘛。

但真的也很容易去疏忽。

因为我知道前期就是像 javascript，其实就 npm 这块其实也存在着。

就是有些 namespace 可能会被人就是恶意的去对对对对，

然后去发一些发业包。

其实在这个过程中，

我觉得对于账号体系的这个呃管理可能也会很重要。

但一般来说作为一个啊在社区里面混的时间比较长的人来说的话，

那个账号真的跟他的生命一样。

有好不容易这个用我平常很多的这个爱心贡献他积累起来来的这种加起来的这种啊，

哎怎么说呢？

就是就是每一个人会非常珍视自己的信用信誉。

对对，

但是如果有人刻意或者有团队组织，

刻意的是制造这个信誉，

也很容易骗过别人。

嗯，

但我觉得还是会有一定的成本，

就是他至少他得他的潜伏很多年。

嗯嗯，

那在这个过程中，

实际上我我我我记得好像也看过，

就是嗯有一些讨论啊，

就是有人去分析他提交记录。

然后他那几次恶意的那个提交记录时间，

和他平常提交时间就不一样。

嗯，

所以所以这个真的也很难，

很难说就是背后到底是一个怎么回事，

怎么回事。

但是我觉得站在常规，

我们开源贡献的这个流程来看的话，

其实要做到这件事情还是有难度的。

嗯，

相对来说它需要投入很多的时间成本来去做这个事情。

明白了。

哎，

接下来一个问题，

我想问一下这个杨老师哈，

因为你是一直在跟进安全领域的，

不像他们做开源，

可能安全是他们要关注一个点。

但是其实你是专门专注于安全领域的，

但一些研究或者一些具体的工作的。

但我们知道啊，

这个供应链攻击这个事不是几次了。

江宁老师刚才也说说了这个之前发生过很多次劳佛系，

可能还是一个 bug 的问题哈。

但是以前你看我出现过 xcode 的投毒，

就是他弄了一个假的啊，

不能说是假的投过毒的 xcode，然后放在国内下载，

然后大家都下载，

然后变译出了有问题的 ios 的应用啊，

这是出过的。

然后我们在最近一段时间，

其实我们也看到了，

比如说一些呃类似于各种面板儿啊之类的这种开源打包的这这这些东西。

然后被某个恶意的公司收购之后，

往里放了一些恶意的代码也会处，

对吧？

但是它是在不同的层面上的，

就是它这种事情可能是经常发生的，

反正每年都有爆出来一两个啊。

但是呢为什么大家往往吃一线很难长一智呢？

往往还会哎掉在这个同样的一个坑里，

这个嗯会是大家怎么样的一个心态，

或者工作流程上是不是有一些什么样的漏洞，

会导致大家永远是在这个坑里不停的反复横跳。

ok 嗯这个问题的话其实非常好啊。

因为呃软件供电的话呢，

它其实有一个比较大的特点，

就是它这个整个不同的软件之间它相互进行调用。

嗯，

然后它有比较复杂的这样的一个供应关系。

那其实软件供应链这个整个体系的话呢，

它包括了软件，

像社区基金会，

还有像开发者维护者等一系列的这种因素。

所以它整个链路其实相对来说比较复杂。

嗯，

那其实像您所说的，

就是这个事情，

其实不是这个就是咱们看到的新闻报道其实是有限的。

其实他这个投毒其实发生的这个概率还是非常大的。

我们之前的话其实有做过相关的研究，

就是在这个二二年二三年啊，

嗯然后我们看到这个像 python 的这个 patty 的这个生态里面啊，

它里面其实只是呃有很多的这样一个比较活跃的这样的一个投毒包。

嗯，

那虽然这个投毒的这个软件包可能被发现并且下架了。

但是呢由于有很多的这个其他的开源软件，

它也用到了这些被投毒的包。

嗯，

但是呢就会导致这个其他的开源软件在发布的时候仍然带有这种投。

不包去进行发布。

嗯，

所以这就导致了这种啊可以理解为这种有毒的一个传递。

对那这种问题的话，

其实它的根本原因还是因为咱们在使用开源的时候，

其实不是很清楚。

它里面到底呃简单来说就是它的成分到底是什么样的，

它里面到底有什么样的其他的开源软件在里，

这藏着。

对啊，

因为我们在搞开发的时候也很明确嘛，

我是要实现一个功能。

嗯，

那我找到社区上有一个挺好的开源项目或者一个开源软件包，

我就用了。

那用完了之后呢，

我就完成了我的这个工作。

哎，

那在长期的维护过程中呢，

那这个里面这个软件包里面到底有什么样这样的一个啊对其他包的依赖。

然后其实我是不清楚的那对于尤其是企业客户来说，

他其实是不透明的那这其实是带来一个比较大的隐患。

有时候可能不是说企业客户吃一天吃一钱不长一智哈他想想长智，

但是他压根儿也不知道自己用了哪些。

那这个确实也比较难以去发现这样的问题啊，

就是现代软件的这个互相之间的连接太紧密了，

规模变得越来越大。

你不太可能从零到一的去写一个系统出来不完，

完全不引入别人的代码，

这是不可能的对。

像比如说尤其是一些大型的开源项目，

像咱们呃像国内也有一些比较大大型的操作系统社区啊，

它里边的话光这个呃基础的版本里就有这个几千个到上万个啊，

现在是有一万多个这样的一个开源的上游软件。

嗯，

那它的这个对外呃发布的时候呢，

还会有很多的第三方的包就加入进去，

就是供这个用户随按需要进行下载啊。

嗯，

像这些包的数量的话呢，

又有这个两万多个啊，

加在一块儿的话，

三万多个软件。

那你这么多的开源软件在里头，

然后它还分不同的版本。

因为我发包的时候，

我的操作系统啊，

它还分为这个不同的这个稳定版本，

然后还有这个创新的版本。

那这么多的版本里面用到的开源软件的种类版本其实都是不同的。

是啊这样的话呃，

当出现这样的一些安全问题啊，

投毒啊，

其实别说这种像这次 sz 这种哈，

它光是这个已知的这个漏洞啊或者之类的这种情况发生的时候，

其实排查起来它的这个效率也是相对比较底下的。

嗯，

因为依赖关系太复杂了。

对，

是，

但是刚才二位都说了哈，

就是第一依赖关系太复杂。

第二，

很多依赖是开源，

而开源又依赖的是信任。

就是我们总觉得这开源可能在历史上从开源有的那一天一直到今天，

大家往往是通过一个互相的信任对吧？

啊，

开源组织信任我的提交者，

对吧？

然后呢，

使用者信任这个开源社区，

然后呢，

用户信任这个开发者，

他是一层一从信任关系递进起来的。

我们从来没有想过，

哎，

你这个软件引入的包是不是不可信的？

可能很少有人会想他打完包编译出来，

反正他能用，

我也很难再去。

就像刚才杨老师我很难再去看啊，

里边真正的会有什么问题，

有什么依赖，

这里哪个组件可信，

哪个组，

就是开发者不可信，

这都很难。

所以随着这个软件规模越来越大协作的规模越来越大。

那这样的一个供应链攻击是不是已经对这个开源社群造成了一个比较致命的挑战？

就是大家再也不相信这样的一个信任关系了。

我倒不这么认为。

呃，

我觉得开源其实它就是开放透明带来的一种，

就是很大程度上就是我们其实还一直在强调可重复构建。

因为我在阿帕奇这边，

其实他发布的其实是那个源代码包。

嗯，

然后那二进制包的话，

其实是说是我是一个啊，

并不是他基金会被输的，

嗯，

而只是说为了我们项目的管理委员会的成员或者其他的就是为了方便大家使用，

然后提供的这么一个呃版本。

回过头来的话，

因为我们如果不建立起这种信任的话，

我们要形成合作的话，

其实很难很难而成成本很高。

对对，

成本太高了。

而且用因为开源软件它本来不赚钱，

嗯，

就是很多时候是靠大家就是发自内心的，

或者我们是主动的这种协作这种诉求才形成的啊相应的这些软件。

所以我觉得在某种程度上，

大家还是对这些软件比较信任。

之所以发生供应链问体的话，

我觉得可能里面有一些安全机制的一些问题。

还有一些的话，

可能就是被恶意人这个利用了。

嗯，

那在这个层面上，

其实它几率相对来说还是比较小的，

就跟我们坐飞机一样的这个掉下来的掉下来的对对对对对，

因为如果你要是日常的话，

就按照以前我们用 windows 那个老板的时候的那种情况来说的话，

那你肯定得买一个杀毒软件去防着防着。

但我们对于这种开源软件来说，

相对来说，

其实它是利用了这种开放透明的这种机制。

然后让这种新的链条可以某某种形式来去传传递，

导，

导致于我们可以一个比较低成本的这种方式啊，

其实还是基于信任低成本的方式来进行协作。

嗯，

啊我觉得这个可能不会改变它的这个趋势。

只不过对于我们来说，

可能希望就是不管是呃社区还是公司层面，

其实我们针对于这种供应链可能需要有更多的投入，

然后去尽量去更好的去避免这些问题。

而且我觉得这里面有一个很重要的点是我们如果要说这个开源软件，

因为这件事儿受到影响，

我们其实应该回过头去看看闭源软件。

嗯，

可能同样的问题，

如果发生在闭源软件上，

今天我们大家都不知道这个事儿。

因为这个事儿只要他官方不发 rex，他不发更新，

甚至他发了更新，

说修复了某些问题。

其实对于我们来说，

我也是点名微信呢，

这是啊那倒也不一定对吧？

就是当他如果说他不把这个事儿说出来时候，

很有可能我们的数据和我们的安全问题其实早已经被攻破了。

只不过是我不知道，

只是因为说开源软件，

他把这个事儿放在台面上了，

它透明了。

我们如果因此去说开源软件的安全是不可被信任的，

我觉得反而是可能是有点矫枉过正了。

其实我会觉得说这其实是开源带给我们的这种自由。

就是你有发现问题的自由，

你也有自己解决问题的自由，

对吧？

当然你也可以选择说我不解决，

我就信任他。

对吧？

我觉得说姜老师 ok 我就听他的，

那这也是一种自由。

嗯，

但可能在 b 端软件下，

你没有自由，

就是官方说你要升级了，

那就升就完事儿了，

对吧？

可能类似于我们之前去更新 windows。

那 windows 就刚才说今天我可能要更新，

你可以选择更新或者不更新。

嗯，

但是印象说为什么更新，

我想了解细节没有你就安装我的这个安装包就完事儿了。