xz-backdoor 观感
内容提要
最近的xz-backdoor事件揭示了开源软件的脆弱性，需要建立开源贡献者身份识别机制。同时，长期维护开源项目是个负担，可持续性是一个问题。
延伸解读
攻击者的伪装与归因难题
文章指出，攻击者Jia Tan可能并非中国人，其Git昵称和时区容易伪造，有分析认为实际可能是欧洲人或以色列人冒充。作者也倾向于相信这不是中国攻击者，因为提交信息中未发现中式英语表达。这提醒我们，在开源社区中，身份归因非常困难，仅凭表面信息容易误判，甚至引发无端指责。
开源透明不等于安全
开源软件的代码公开透明，但并不意味着安全。xz后门事件表明，精心设计的恶意代码改动很难被常规审查发现，例如一个隐蔽的提交就能绕过检查。后门的发现有很大运气成分，多亏了Andres Freund的细心。这打破了“足够多的眼睛盯着就能发现漏洞”的迷思，说明透明性只是安全的一个条件，而非保证。
身份识别机制的两难
有人提议通过开源贡献者身份识别机制来预防类似攻击，但文章认为这并不现实。Linux内核的Sign-off主要解决法律问题，不能防止身份冒用；而KYC则与开源的黑客文化相悖，许多开发者刻意选择匿名。比特币的例子表明，无许可和假名开发是去中心化的重要保障，因此简单的身份识别可能损害开源的开放本质。
开源可持续性的警示
xz维护者Lasse Collin长期独自支撑项目，疲于应付，这被攻击者利用。文章指出，许多关键开源项目依赖少数开发者，如SQLite由3人维护20多年，curl由Daniel Stenberg维护至今。这些维护者面临巨大压力，却常被忽视。事件提醒我们，数字基础设施建立在脆弱基础上，需要关注开源贡献者的困境和可持续性。
Q&A
xz-backdoor事件的主要影响是什么？
xz-backdoor事件揭示了开源软件的脆弱性，强调了建立开源贡献者身份识别机制的必要性。
为什么开源软件的透明性并不等于安全性？
开源软件的透明性并不意味着安全性，因为恶意代码可以通过巧妙的方式植入，难以被发现。
如何预防类似xz-backdoor的事件发生？
建立有效的开源贡献者身份识别机制和加强代码审查可以帮助预防类似事件。
开源项目维护者面临哪些挑战？
开源项目维护者面临时间和精神压力，长期维护项目是一种巨大的负担。
xz-backdoor事件中后门是如何被发现的？
后门是由开发者Andres Freund偶然发现的，他在分析延迟时注意到了可疑的行为。
开源软件的可持续性问题有哪些？
开源软件的可持续性问题包括对少数开发者的依赖和缺乏经济激励机制。
