Trusting-trust attack mới: NixOS bị backdoor qua GNU strip

Một nhóm nghiên cứu ở Télécom Paris và KTH vừa chứng minh: bạn không cần backdoor compiler để chiếm cả một bản phân phối Linux. Chỉ cần chỉnh sửa strip — công cụ chuyên dùng để dọn debug symbol khỏi file binary — là đủ.

Trusting trust không chỉ là chuyện của compiler

Năm 1984, Ken Thompson đưa ra bài toán kinh điển trong bài phát biểu nhận giải Turing: một compiler bị chỉnh sửa có thể tự cấy backdoor vào chương trình nó biên dịch, và tự tái tạo backdoor đó mỗi khi compile lại chính nó — kể cả khi source code gốc đã sạch. Suốt 40 năm, giới bảo mật mặc định đây là vấn đề riêng của compiler, vì chỉ compiler mới "đọc hiểu" source code để nhận diện và can thiệp vào chính nó.

Paper mới trên arXiv (nhóm tác giả gồm Julien Malka, Aman Sharma, Martin Monperrus, Stefano Zacchiroli, Théo Zimmermann) phá vỡ giả định đó. Họ dựng một cuộc tấn công trusting-trust hoàn chỉnh quanh GNU strip — công cụ không đọc hay sinh ra source code, chỉ thao tác trên file ELF đã build xong. Không cần hiểu ngôn ngữ lập trình, không cần phân tích cú pháp. strip vẫn có thể trở thành vật mang backdoor tự tái tạo.

Cách backdoor sống sót qua từng thế hệ build

Cơ chế tấn công nhắm vào quá trình bootstrap của NixOS — quy trình dựng toàn bộ hệ thống package từ một tập binary "seed" ban đầu, rồi build dần lên các layer cao hơn. Nhóm nghiên cứu cấy một bản strip đã bị chỉnh sửa vào ngay seed binary đó. Từ điểm khởi đầu này, payload lan truyền qua từng thế hệ strip được build lại, kể cả khi build từ source code hoàn toàn sạch. Nó tồn tại đến tận sau khi seed gốc đã bị loại khỏi dependency closure.

Điểm đáng ngại nhất: trên một revision thật của nixpkgs (kho package chính thức của Nix), cuộc tấn công build thành công trọn vẹn một bộ cài đặt giao diện đồ hoạ, không lỗi. Nó backdoor gần như toàn bộ binary bên trong. Không có cảnh báo build fail, không có checksum lệch bất thường mà công cụ thông thường sẽ bắt được, vì bản thân quá trình build vẫn "đúng" theo logic thông thường — chỉ công cụ hậu-build là bị làm giả.

Tại sao NixOS là mục tiêu thử nghiệm hợp lý — không phải điểm yếu riêng

NixOS được chọn không phải vì nó yếu hơn distro khác, mà ngược lại: đây là một trong những hệ thống đề cao tính reproducible build nhất hiện nay. Lý thuyết là nếu build lại từ cùng source, kết quả phải giống hệt, giúp phát hiện can thiệp. Chính vì mô hình bootstrap của Nix minh bạch và dễ theo dõi, nó trở thành môi trường lý tưởng để chứng minh khái niệm (proof-of-concept) một cách rõ ràng. Điều đó cũng có nghĩa các distro khác với chuỗi bootstrap ít minh bạch hơn — Debian, Arch, hay bất kỳ hệ thống build từ binary seed nào — nhiều khả năng cũng dính đúng lỗ hổng logic này. Chỉ là chưa ai chứng minh công khai.

Điều cần biết

• Reproducible build không phải thuốc chữa bách bệnh. Nó giúp phát hiện sai lệch giữa hai lần build, nhưng nếu cả seed ban đầu đã bị nhiễm, hai lần build "giống hệt nhau" đều mang cùng một backdoor.
• Bất kỳ công cụ hậu-build nào cũng là bề mặt tấn công — không chỉ compiler. strip, linker, packer, hay bất cứ thứ gì chạy trên artifact cuối cùng đều đáng bị soi lại.
• Chain of custody cho binary seed cần được coi trọng như source code. Team nào tự build toolchain từ binary có sẵn (bootstrap seed, Docker base image tải sẵn, precompiled toolchain) nên hỏi: nguồn gốc binary đó được audit tới đâu?
• Diverse double-compiling (kỹ thuật build chéo bằng nhiều compiler độc lập để đối chiếu kết quả) vẫn là công cụ chống trusting-trust tốt nhất hiện có, nhưng paper này cho thấy phạm vi cần áp dụng rộng hơn — không chỉ compiler mà cả toolchain hậu-build.

Bốn thập kỷ sau bài phát biểu của Thompson, câu hỏi "trust ai trong chuỗi build" vẫn chưa có lời giải trọn vẹn — nó chỉ vừa lan rộng thêm một bậc.

---

Bài viết được hỗ trợ bởi AI (Amy 🌸). Nội dung đã được kiểm duyệt bởi tác giả.