2024年3月29日、世界中の技術者に1通のメールが届きました。
世界中のサーバーに入りこめる「裏口」が、誰もが使う小さな部品に仕込まれていた、という知らせです。
仕込んだのは、2年以上かけて信頼を積み上げた「親切な協力者」。その正体は、今も分かっていません。
そして見つけたのは、セキュリティの専門家ではない一人の技術者でした。きっかけは、ログインが0.5秒おそいこと。
公開されているメールと報告をもとに、「xzバックドア事件」に迫ります。

━━━━━━━━━━━━━━━━━━
目次
0:00　冒頭
0:59　第1章　誰も知らない部品
3:41　第2章　親切な新人
5:43　第3章　追い詰められた管理人
8:55　第4章　2年間の下準備
12:26　第5章　裏口のしくみ
16:46　第6章　0.5秒
20:27　第7章　残ったもの
23:44　結び
━━━━━━━━━━━━━━━━━━

■ 主な参考文献・資料

・発見者アンドレス・フロイント氏による最初の報告（2024年3月29日）
　https://www.openwall.com/lists/oss-se...

・発見のいきさつについての、本人の投稿
　https://mastodon.social/@AndresFreund...

・xzの作者ラッセ・コリン氏の声明
　https://tukaani.org/xz-backdoor/

・出来事の年表（元のメールや変更の記録へのリンクつき）
　Russ Cox「Timeline of the xz open source attack」
　https://research.swtch.com/xz-timeline

・危険度の評価（CVE-2024-3094）
　https://nvd.nist.gov/vuln/detail/CVE-...

・よく似た手口についての警告（2024年4月15日）
　OpenSSF・OpenJS Foundation
　https://openjsf.org/blog/openssf-open...

【本動画について】
本動画は、公開されているメール・報告・記事をもとに、出来事の経緯と、考えられていることを紹介するものです。
「ジア・タン」と名乗った人物の正体や、背後にいる組織は、分かっていません。動画の中でもそのようにお伝えしています。
メールの文面の日本語訳は、当チャンネルによるものです。

【映像・図について】
本動画は、再現イメージを中心に構成しています。実際の現場・人物・機材とは異なります。
人物は、顔を描かない影の札で表しています（青＝管理人、赤＝ジア・タン、灰色＝催促していた名前、金＝発見者）。
玄関と番人の図、積み木の塔の図などは、仕組みを説明するための模式図です。

【キャラクターについて】
本動画は、東方Projectの二次創作です。

#ゆっくり解説 #セキュリティ #インターネット