Il maintainer di ‘sudo’ cerca supporto mentre ‘sudo-rs’ si avvicina a diventare il nuovo standard
La vicenda della backdoor XZ, che risale ormai a 2 anni fa, ha lasciato un segno profondo nel mondo del software libero. Quell’episodio ha mostrato con brutalità quanto spesso si diano per scontati i meccanismi di fiducia alla base dell’open source, soprattutto quando un progetto è mantenuto da una sola persona.
Il caso XZ è ancora nella memoria di molti: un pacchetto software presente praticamente ovunque, un maintainer in difficoltà nel gestirlo, un collaboratore apparentemente disponibile ad aiutare che, alla fine, si è rivelato un criminale intenzionato a introdurre una backdoor nel codice. Un campanello d’allarme che ha evidenziato quanto sia fragile l’equilibrio tra fiducia, manutenzione e sicurezza.
Se XZ poteva sembrare un progetto “minore”, la situazione diventa ancora più delicata quando si parla di sudo, uno degli strumenti più critici dell’intero ecosistema GNU/Linux. Da oltre un decennio, la maggior parte delle distribuzioni GNU/Linux evita di impostare una password per l’utente amministratore (root), perché la gestione dei privilegi avviene tramite il comando sudo, che permette la privilege escalation (cioè l’elevazione temporanea dei privilegi) in modo controllato e tracciabile.
Ed è qui che arriva la parte sorprendente: sudo è mantenuto da una sola persona. Come riportato da The Register, il maintainer storico, Todd C. Miller, ha pubblicato un appello molto diretto.
For the past 30+ years I’ve been the maintainer of sudo. I’m currently in search of a sponsor to fund continued sudo maintenance and development. If you or your organization is interested in sponsoring sudo, please let me know.
Per gli ultimi trent’anni sono stato il maintainer di sudo. Al momento sto cercando uno sponsor per finanziare il mantenimento e lo sviluppo di sudo. Fatemi sapere se voi o qualcuna delle aziende per cui lavorate sono interessate a sponsorizzare sudo.
Il messaggio è apparso sul suo blog personale, dove Miller spiega anche di non aspettarsi di mantenere sudo per altri trent’anni. Il problema è che, al momento, non ha nessuno a cui passare il testimone. Una situazione che richiama inevitabilmente la storia della backdoor XZ e la necessità di garantire continuità e sicurezza nei progetti fondamentali dell’infrastruttura digitale.
Il nodo centrale è la responsabilità. Il tempo che Miller può dedicare al progetto è limitato, perché il lavoro non è retribuito ma volontario. Questo significa che oggi la manutenzione si concentra soprattutto sulla correzione dei bug e sulla pulizia del codice, mentre l’aggiunta di nuove funzionalità passa in secondo piano. Per migliorare la situazione servirebbero più sponsor, più risorse e più persone coinvolte.
Con grande trasparenza, Miller riconosce anche che il futuro di sudo potrebbe essere segnato dall’arrivo di sudo-rs, una reimplementazione in Rust, linguaggio progettato per offrire maggiore sicurezza nella gestione della memoria. Rust è spesso considerato una scelta ideale per strumenti critici, perché riduce drasticamente il rischio di vulnerabilità legate a buffer overflow e altre classi di errori tipiche del linguaggio C.
Ubuntu ha già iniziato a distribuire sudo-rs come comando predefinito nelle versioni più recenti della sua distribuzione GNU/Linux. Miller stesso conferma di essere in contatto con gli sviluppatori del progetto fin dall’inizio e di riporre fiducia nel loro lavoro.
Ubuntu is already shipping sudo-rs as the default sudo command in their latest versions, I’ve been in contact with the people working on sudo-rs since the project started and I trust them to do right by the sudo user base.
Nella sua ultima versione Ubuntu sta già distribuendo sudo-rs come comando sudo di default. Sono rimasto in contatto con le persone che lavorano al progetto sudo-rs dall’inizio e credo stiano facendo un buon lavoro per gli utenti sudo.”
Tuttavia, prima che sudo-rs diventi uno standard a tutti gli effetti, servirà tempo. Nel frattempo, per garantire la sopravvivenza e l’affidabilità di sudo, sarà necessario un sostegno più concreto. È auspicabile che le aziende che basano la propria infrastruttura su GNU/Linux colgano l’importanza di questo appello e contribuiscano a mantenere solido uno degli strumenti più critici dell’intero ecosistema GNU/Linux.
Fonte: https://www.millert.dev/
Fonte: https://www.theregister.com/2026/02/03/sudo_maintainer_asks_for_help
Se vuoi sostenermi, puoi farlo acquistando qualsiasi cosa dai diversi link di affiliazione che ho nel mio sito o partendo da qui oppure alcune di queste distribuzioni GNU/Linux che sono disponibili sul mio negozio online, quelle mancanti possono essere comunque richieste.
Se ti senti generoso, puoi anche donarmi solo 1€ o più se vuoi con PayPal e aiutarmi a continuare a pubblicare più contenuti come questo. Grazie!
Hai dubbi o problemi? Ti aiutiamo noi!
Se vuoi rimanere sempre aggiornato, iscriviti al nostro canale Telegram.Se vuoi ricevere supporto per qualsiasi dubbio o problema, iscriviti alla nostra community Facebook o gruppo Telegram.
Cosa ne pensi? Fateci sapere i vostri pensieri nei commenti qui sotto.
Ti piace quello che leggi? Per favore condividilo con gli altri.
