O criador e principal desenvolvedor do Fwupd, Richard Hughes, divulgou que as próximas versões do conhecido atualizador de firmware para sistemas Linux estão abandonando o uso do XZ Utils em favor do Zstandard (zstd).
Após o incidente do "backdoor XZ", os desenvolvedores de software de código aberto estão buscando alternativas para utilitários de compressão, e o Zstandard surge como uma escolha natural. Desenvolvido por Yann Collet no Facebook, o Zstandard oferece um algoritmo de compressão de dados sem perdas que se mostra mais rápido do que o XZ na descompactação, além de proporcionar altas taxas de compressão.
De acordo com Hughes, os metadados do Fwupd compactados com Zstandard são cerca de 3% menores do que aqueles compactados com XZ. No entanto, o verdadeiro benefício de adotar o Zstandard para compactar os metadados do Fwupd é a confiabilidade percebida pelos desenvolvedores, especialmente após o incidente do XZ. Isso marca apenas o início de uma tendência crescente, com mais projetos de código aberto considerando a transição para o Zstandard para garantir a segurança de seus usuários.
Hughes enfatiza:
"Esta semana aprendemos que o XZ não é o tipo de tecnologia na qual devemos confiar".
Por precaução, ele ajustou o Linux Vendor Firmware Service (LVFS) para gerar metadados no formato Zstandard, eliminou a dependência do lzma na libxmlb e fez com que o Fwupd priorizasse metadados em Zstandard sobre os em XZ.
Já várias distribuições Linux populares adotaram o Zstandard como método padrão de compressão para pacotes, visando instalações mais rápidas. O Arch Linux, por exemplo, fez a mudança para o Zstandard em outubro de 2019 com o lançamento do Pacman 5.2 e migrou completamente do XZ para o Zstandard para todos os pacotes no repositório oficial em janeiro de 2020.
Em outra frente, Hughes também está considerando a implementação de compromissos assinados para o Fwupd, como medida para evitar problemas na cadeia de suprimentos, semelhantes ao ocorrido com o backdoor do XZ. Este é um tópico em discussão ativa na página do projeto no GitHub.
