【Rust日报】2024-04-09 关于 xz 后门的思考：lzma-rs 的视角
内容提要
Guillaume Endignoux在其博客上讨论了xz-utils压缩项目中的后门问题，并通过lzma-rs的视角分析了该事件。他强调了压缩工具的安全关键性，并呼吁对压缩和文件格式的安全性给予更多关注。Rust项目领导者Niko提出了一个项目目标提案，旨在明确化决策过程并加强项目的执行力和效率。zip_next发布了1.0版本，是一个用于读写ZIP文件的Rust库。
延伸解读
xz 后门事件与 Rust 重写的安全考量
文章通过 lzma-rs 的视角分析了 xz-utils 后门事件，探讨了用 Rust 重写压缩工具以提高安全性的可能性。作者指出，Rust 包通常不需要复杂的构建脚本，这简化了审核过程并减少了潜在的安全风险。然而，重写并非万能，仍需关注依赖链和维护模式。
可持续维护模式对关键软件的重要性
Endignoux 强调了关键依赖需要可持续的维护模式，以保证软件的安全性和稳定性。xz-utils 后门事件暴露了维护者倦怠和信任问题。文章建议通过整合类似库或工具来强化维护，减少被攻击的机会，并呼吁对压缩和文件格式的安全性给予更多关注。
Rust 社区决策权明确化的尝试
Rust 项目领导者 Niko 提出项目目标提案，旨在明确决策过程并加强执行力。他观察到社区对决策权感到困惑，因此提议重新激活路线图进程，为每个目标分配所有者。所有者负责设计方案，团队作出最终决策，以此增强责任感和透明度。
zip_next 1.0 的功能与限制
zip_next 是一个从 zip 库派生的 Rust 库，用于读写 ZIP 文件，1.0 版本提高了测试覆盖率并添加了更多功能。它支持存储、deflate、deflate64（仅解压）、bzip2 和 zstd 等压缩格式，默认包含 AES 加密解密。但目前不支持加密和多磁盘等 ZIP 扩展功能。
Q&A
xz-utils 压缩项目中的后门问题是什么？
xz-utils 压缩项目中发现了后门问题，Guillaume Endignoux 在博客中对此进行了讨论，并分析了可能的防御措施。
为什么需要用 Rust 重写压缩工具？
用 Rust 重写压缩工具可以提高安全性，Endignoux 提出了这一观点以应对 xz-utils 的后门问题。
Rust 生态系统中有哪些常见的压缩库？
Rust 生态系统中常见的压缩库包括 xz2 和 zip_next，后者是一个用于读写 ZIP 文件的库。
zip_next 库的主要功能是什么？
zip_next 是一个用于支持读写 ZIP 文件的 Rust 库，支持多种压缩格式，但不支持加密和多磁盘功能。
Niko 提出的项目目标提案的目的是什么？
Niko 提出的项目目标提案旨在明确化决策过程，增强项目的执行力和效率，解决社区对决策权的不明确问题。
如何减少 Rust 包的安全风险？
通过简化构建脚本和整合类似库或工具，可以减少 Rust 包的安全风险，简化审核过程。
