Dawnsinger: Genau das. Natürlich riskiert man, dass das im Quellcode auffällt, (…)
mk47at: Da möchte ich doch mal wieder auf die XZ-Geschichte hinweisen. Wenn das Projekt autoconf oder ähnliches enthält, dann ist es möglich, etwas in dem ganzen langem Wust an Code so zu verstecken, dass es sehr schwierig ist es zu finden selbst wenn man weiß, dass da was versteckt ist.
Ja, das war schon 'ne nette Sache. Solche Exploits des Build-Systems kommen noch hinzu, und im Gegensatz zum Sourcecode gucht da selten mehr als eine Person drauf. Und auf diesem Umweg kann das natürlich dann auch ins offizielle Repo gelangen. Klar ist man jetzt gewarnt, aber trotzdem.
BTW, das hat mir sowieso sehr gut gefallen, das scheint ja nur ein Puzzleteil bzw. die Vorbereitung für den eigentlichen Angriff gewesen zu sein. Also so richtig groß und mehrteilig angelegt und schön verteilt. Vermutlich die Reaktion darauf, dass es damals ja nicht gelungen ist, in den Quellcode (war es damals nicht sogar SSL?) was einzuschleusen.