Freund 追查 SSH 效能異常，揪出潛伏多年的後門（訪談）

在 2024 年 4 月 NPR《All Things Considered》的訪談中，微軟軟體工程師 Andres Freund 表示，他當時正在對開源軟體執行例行測試，卻注意到一件怪事：SSH——管理員用來遠端控制電腦的工具——在一台沒有人獲授權登入的機器上「似乎耗用了過多資源」。這些症狀「怪到讓我實在無法說服自己不要」放下原定工作、轉而展開調查。

他進一步追查，發現在為政府、企業與銀行提供伺服器服務的開源軟體中，被植入了程式碼——一個能讓人在未經授權下登入的後門。他說，掌握這道存取權的人幾乎什麼都能做：癱瘓銀行系統、干擾工業控制、竊取資料。Freund 回憶，這次植入耗費多年工夫，投入的心力超乎單一個人所能負荷。

他說，這個體認是慢慢浮現的；他一度不斷假設自己一定弄錯了，接著又回到「這可能真的屬實」的念頭。他一發出警訊，開發者便紛紛投入並修補了這個漏洞，一位資安專家還說「全世界都欠 Andres 無限杯免費啤酒」。

對 Freund 而言，更深層的問題是結構性的：這個遭入侵的元件儘管被極其廣泛地使用，卻將近二十年來一直由同一位無償的個人維護。他說：「我們這次是僥倖到不合理的程度，而我們不能只指望往後還能這樣。」

這個後門並非被安全工具攔截，而是被它自身的副作用揪出：每次 SSH 登入都會多耗用 CPU，而有一位工程師拒絕對此視而不見。

偵測的契機來自後門自身的副作用——SSH 登入時額外的資源耗用——而非任何安全審查或掃描。

Freund 的紀律是關鍵差異所在：這個症狀小到足以被忽略，而他卻放下整個原定計畫去追查它。

按 Freund 自己的說法，這次逮到後門靠的是運氣，這也是他主張維護者的資金來源必須改變的原因，就像 Heartbleed 之後那樣。

追查微小而無法解釋的異常，成本很低；忽略它，代價卻很高。而基礎設施軟體不該在二十年間只靠一位無償的維護者。

Freund 一舉報，社群便迅速行動：眾人紛紛投入，漏洞獲得修補，他也成了「網路英雄」。在訪談中，他以 Heartbleed 作為接下來該怎麼做的範例——在該 OpenSSL 漏洞之後，企業開始付費給維護者，讓安全性得以真正改善，「而這種事必須更普遍地發生」。