আজ থেকে প্রায় দুই মাস আগে, আমরা এই ব্লগে XZ ইউটিলিটির ব্যাকডোর সংক্রান্ত ঘটনাটি নিয়ে একটি নোট শেয়ার করেছিলাম। সেই একই পোস্টে, আমি আমার মতামতও জানিয়েছিলাম, যেখানে আমি উল্লেখ করেছিলাম, এবং এখনও করব, যে এই ঘটনাটি নিয়ে দীর্ঘকাল ধরে আলোচনা হবে, কারণ "এটি প্রায়োগিক সোশ্যাল ইঞ্জিনিয়ারিংয়ের অন্যতম সেরা উদাহরণ।"
আমরা সেই সময়ে আরও কিছু প্রকাশনাও শেয়ার করেছিলাম , যেগুলিতে এই মামলায় গৃহীত বিভিন্ন পদক্ষেপ এবং কীভাবে পরিস্থিতিটি এত দীর্ঘ সময় ধরে অলক্ষিত থেকে যেতে পেরেছিল, তা সংকলিত ছিল।
এবং এখন, xz প্রজেক্টের মূল লেখক ও রক্ষণাবেক্ষণকারী, লাসে কলিন, XZ Utils 5.2.13, 5.4.7, এবং 5.6.2-এর নতুন ফিক্স সংস্করণগুলো প্রকাশের ঘোষণা দিয়েছেন । এই সংস্করণগুলো কম্পোনেন্টগুলো থেকে ব্যাকডোর এবং জিয়া টানের দ্বারা পূর্বে অনুমোদিত অন্যান্য সন্দেহজনক পরিবর্তনগুলো অপসারণ করে।
প্যাচ সংস্করণগুলো প্রকাশের পাশাপাশি, লাসে কলিন গিট রিপোজিটরির একটি পর্যালোচনা প্রতিবেদনও শেয়ার করেছেন, যেখানে ২০২২ সালের ডিসেম্বর মাস থেকে করা পরিবর্তনগুলো অন্তর্ভুক্ত রয়েছে, যখন জিয়া ট্যান প্রকল্পটির রক্ষণাবেক্ষণকারী ছিলেন। প্রতিবেদনটিতে প্রতিটি কমিট স্তরে বিশ্লেষণ করা পরিবর্তনগুলোর বিস্তারিত বিবরণ দেওয়া হয়েছে এবং উল্লেখ করা হয়েছে যে, যদিও রিপোজিটরির কমিটগুলোতে ডিজিটাল স্বাক্ষর ছিল না, তবুও কমিটারদের দ্বারা কোনো ধরনের বিকৃতির চিহ্ন পাওয়া যায়নি। রিপোজিটরি থেকে মোট আটটি ক্ষতিকারক কমিট সরিয়ে ফেলা হয়েছে।
এবং যদিও ২০২৩ সাল থেকে ক্ষতিকর পরিবর্তন আনার সন্দেহে কিছু পরিবর্তন করা হয়েছিল , আমরা লক্ষ্য করতে পারি যে প্রতিবেদনে বিস্তারিতভাবে বলা হয়েছে, ব্যাকডোর চালুর জন্য প্রথম যে পরিবর্তনগুলো করা হয়েছিল তা ২০২৪ সালের শুরুর দিকের, যখন জিয়া টানের XZ-এ ব্যাকডোর চালু সংক্রান্ত কার্যকলাপ আরও বেশি ছিল।
এই সংকুচিত ফাইলগুলি তৈরি করা হয়েছে এবং জিয়া তান দ্বারা স্বাক্ষর করা হয়েছে এইগুলি পর্যালোচনা করা হয়েছে এবং এতে ক্ষতিকারক সামগ্রী নেই৷
নোট
Git রিপোজিটরিতে ট্যাগ v5.2.11 এবং v5.4.2 Jia Tan দ্বারা স্বাক্ষরিত হয়েছিল, কিন্তু tar ফাইলগুলি আমার দ্বারা তৈরি এবং স্বাক্ষরিত হয়েছিল।
নিম্নলিখিত ব্যতিক্রমগুলির সাথে, গিট সংগ্রহস্থলের ফাইলগুলি টার ফাইলগুলির সাথে মেলে:.po ফাইলগুলি মেক মাইডিস্টের অংশ হিসাবে আপডেট করা হয় (বা মেক ডিস্ট)
চেঞ্জলগ হল একটি ফাইল যা টার আর্কাইভে তৈরি করা হয়।
প্রতিটি সংস্করণ একাধিক কম্প্রেশন বিন্যাসে উপলব্ধ। .tar ডিকম্প্রেশন প্রতিটি সংস্করণের সমস্ত কম্প্রেশন ফরম্যাটের জন্য একই।
জিপ ফাইলের ফাইল তালিকা ভাল. উদাহরণস্বরূপ, একই ফাইল একাধিকবার প্রদর্শিত হয় না।
পিডিএফ ফাইলগুলি পুনরুত্পাদন করা কঠিন কারণ এতে একটি টাইমস্ট্যাম্প রয়েছে এবং এটি ব্যবহৃত সরঞ্জামগুলির সংস্করণের উপরও নির্ভর করে। যাইহোক, পিডিএফ ফাইলগুলি স্বাভাবিক দেখায় এবং তাদের ফাইলের আকারও স্বাভাবিক (এগুলি শুধুমাত্র কয়েকটি বাইট দ্বারা পৃথক)।
প্রতিবেদনে আরও উল্লেখ করা হয়েছে যে, CRC কোড CLMUL, যা MSAN (মেমরি স্যানিটাইজার) দিয়ে পরীক্ষা করার সময় ফলস পজিটিভ তৈরি করে এবং OSS Fuzz-এর সাথে সমস্যা সৃষ্টি করে, তা এখনও কোডবেস থেকে সরানো হয়নি। যদিও ভবিষ্যতে এই কোডটি পুনর্গঠন করার পরিকল্পনা রয়েছে, আপাতত পুরোনো ব্রাঞ্চগুলোতে রিগ্রেশন এড়ানোর জন্য এটিতে হাত না দেওয়ার সিদ্ধান্ত নেওয়া হয়েছে। ব্যাকডোরের সাথে সম্পর্কিত পরিবর্তনগুলোর আগে যোগ করা পুরোনো কমিটগুলোতে কোনো সন্দেহজনক পরিবর্তন শনাক্ত করা যায়নি। এছাড়াও, po ফাইলের অবস্থান, tar আর্কাইভের মেটাডেটা এবং ভার্সন ও অনুবাদ ধারণকারী ফাইলগুলো আলাদাভাবে পরীক্ষা করা হয়েছে।
এছাড়াও, এটিও উল্লেখ করা হয়েছে যে এই পরিবর্তনগুলির মধ্যে রয়েছে দীর্ঘদিনের বাগ ফিক্স এবং পরোক্ষ ফাংশন কলের জন্য Glibc-তে প্রদত্ত IFUNC মেকানিজমের সাপোর্ট অপসারণ, যা ব্যাকডোর ফাংশন ইন্টারসেপশন পরিচালনা করতে ব্যবহৃত হত। এটি মনে রাখা গুরুত্বপূর্ণ যে IFUNC ব্যবহার করলে কোড কেবল জটিল হয় এবং এর ফলে পারফরম্যান্সের উন্নতি নগণ্য। সতর্কতামূলক ব্যবস্থা হিসেবে, সোর্স প্যাকেজ থেকে XZ লোগো, ম্যান পেজের পিডিএফ সংস্করণ এবং x86 ও SPARC আর্কিটেকচারের জন্য দুটি টেস্ট, যেগুলো ইনপুট হিসেবে অবজেক্ট ফাইল প্রসেস করত, সেগুলোও সরিয়ে ফেলা হয়েছে।
বাস্তবায়িত উন্নতিগুলোর বিষয়ে বলতে গেলে , উদাহরণস্বরূপ , xzdec ডিকোডারটি এখন ল্যান্ডলক অ্যাপ্লিকেশন আইসোলেশন মেকানিজমের ABI ভার্সন ৪ সমর্থন করে। এছাড়াও, Autotools বিল্ড স্ক্রিপ্টগুলোতে `--enable-doxygen` অপশনটি যোগ করা হয়েছে এবং Doxygen ব্যবহার করে liblzma API-এর ডকুমেন্টেশন তৈরি ও ইনস্টল করার জন্য Cmake স্ক্রিপ্টে `ENABLE_DOXYGEN` প্যারামিটারটি যুক্ত করা হয়েছে। প্যাকেজের আকার ও জটিলতা কমানোর জন্য পূর্বে তৈরি করা ডকুমেন্টেশনটিও প্যাকেজ থেকে সরিয়ে ফেলা হয়েছে।
অবশেষে, আপনি যদি এ সম্পর্কে আরও জানতে আগ্রহী হন, তবে নিম্নলিখিত লিঙ্কে প্রকাশনাটির বিস্তারিত বিবরণ দেখতে পারেন ।