The Untold Story of Log4j and Log4Shell | Christian Grobmeier | GitHub (Рубрика #Security) С большим интересом посмотрел историю про один из самых крупных факапов в истории безопасности, которую рассказывал непосредственный участник событий - Кристиан Гробмайер, мейнтейнер Apache Log4j, участник Apache Software Foundation. Человек, который в декабре 2021 внезапно оказался ответственным за "половину интернета". Интересно, что я помню масштаб той истории и ее стремительное развитие - это было эпично. Но что же произошло? В 2021 в библиотеке Log4j нашли уязвимость максимального уровня 10 из 10 Log4Shell (CVE-2021-44228) - возможность удалённого выполнения кода через обычную строку логирования (${jndi:…}). Эксплуатация была элементарной, а Log4j был буквально везде: enterprise-системы, облака, гос-сервисы, игры. Например, в процессе работы над инцидентом Кристиана позвал его сын и показал, что даже его Minecraft сервер пал жертвой этой уязвимости ... А дальше был кризис - Несколько волонтёров, что поддерживали библиотеку на энтузиазме - Ноль сна и куча давления в стиле "чините быстрее" - Давление со стороны компаний и СМИ, - При этом мало поддержки и ноль вопросов о том, а как ребята себя чувствуют и нужна ли помощь В общем, этот инцидент показал не баг в одной библиотеке, а системную проблему всей open-source-экосистемы. Если говорить про инсайты в общем, то они примерно такие и актуальны до сих пор 1️⃣ Open source ≠ безопасно по умолчанию Открытый код не означает автоматически защищённый код. Безопасность - это люди, процессы и поддержка, а не лицензия. 2️⃣ Масштаб библиотеки = масштаб риска Маленькая зависимость → тысячи продуктов → глобальный инцидент. Большинство компаний даже не знали, что у них есть Log4j, пока не стало поздно. Отсюда резкий интерес к SBOM (Software Bill of Materials) и прозрачности цепочки поставок. 3️⃣ Самая опасная уязвимость - незнание Мейнтейнеры часто не security-эксперты. Без обучения secure coding разработчики часто становятся точками отказа 4️⃣ Один-два мейнтейнера - это single point of failure (если докапываться, то два - это уже не single) Критичные библиотеки не могут держаться на энтузиазме пары людей. Деньги важны, но ещё важнее - участие компаний-потребителей. 5️⃣ Культура важнее технологий Агрессия, давление и обвинения делают экосистему слабее. Поддержка и сотрудничество - наоборот. 🌝 Что это значит для инженеров - Минимизируйте зависимости. Каждая библиотека - потенциальная атака. - Автоматизируйте обновления и CVE-алерты (Dependabot, SCA). - Не доверяйте входным данным никогда, даже "внутренним". - Отключайте опасные фичи по умолчанию (типа jdni) - Используйте defense-in-depth. - Генерируйте SBOM - знайте, из чего вы собрали продукт. - Нашли проблему в OSS - помогите, а не просто «репортните и забудьте». 🔥 Что это значит для тимлидов и CTO - Безопасность зависимостей = бизнес-риск, а не "техническая деталь" - У вас должен быть ответственный за OSS-цепочку и реакцию на CVE - SBOM - must-have, а не nice-to-have - Закладывайте время инженеров на вклад в критичные open-source-проекты. - Инвестируйте в обучение secure development - Планируйте регулярные апдейты зависимостей как часть roadmap - Готовьтесь к 0-day заранее, а не в Slack-панике Итого, Log4Shell показал простую вещь - наш софт настолько безопасен, насколько безопасны его самые маленькие зависимости. А для того, чтобы они были лучше стоит не только использовать эти библиотеки, но и поддерживать их самим. #Security #Engineering #Software #Management #OpenSource