XZ — fichier .xz

Le XZ compresse un seul fichier avec l’algorithme LZMA2, offrant généralement un taux de compression supérieur au GZIP classique au prix d’un temps de calcul plus long. Comme le GZIP, il est très fréquemment associé au TAR pour former des archives “.tar.xz”.

Sa signature de 6 octets est stable et sans ambiguïté connue.

Devenu le format de compression par défaut de nombreuses distributions Linux pour la diffusion de paquets logiciels et de code source, le XZ a connu une notoriété inattendue en 2024 lorsqu’une porte dérobée sophistiquée a été découverte dans ses outils associés (XZ Utils), un épisode marquant de l’histoire récente de la sécurité des logiciels libres.

Contrairement au gzip qui compresse en un seul passage continu, LZMA2 découpe les données en blocs qui peuvent chacun choisir leurs propres paramètres de compression, une flexibilité qui contribue au meilleur taux de compression obtenu au prix d’un temps de calcul plus élevé.

L’incident de la porte dérobée de 2024, introduite sur plusieurs années par un contributeur ayant progressivement gagné la confiance du mainteneur du projet, a depuis été largement étudié comme cas d’école des risques de supply-chain pesant sur les dépendances open source largement utilisées mais maintenues par très peu de personnes.

Fedora a par ailleurs basculé la compression par défaut de ses paquets RPM vers le Zstandard plutôt que le XZ, un compromis privilégiant une décompression nettement plus rapide à l’installation au prix d’un taux de compression légèrement inférieur — un arbitrage de plus en plus courant face à des paquets logiciels toujours plus volumineux.