In che modo la compilazione di un programma dalla fonte è più sicura?

Question

In che modo la compilazione di un programma dalla fonte è più sicura?

#1 da (6 voti)

2

Quando scarichi binari compilati per i programmi è molto importante controllare le firme GPG, Authenticode, hash, ecc.

Tuttavia, vedo spesso persone che dicono che compilare il codice dalla fonte è il modo più sicuro.

Se hanno letto e capito ogni singola riga di codice, allora posso vedere come sarebbe il caso.

Tuttavia, per progetti come Chromium o il Kernel Linux, dubito strongmente che chiunque nel mondo abbia letto ogni singola riga. Anche se leggessero ogni singola riga, una backdoor può essere piccola come un personaggio, quindi è meglio che la leggano maledettamente.

La compilazione dalla fonte veramente è più sicura del download dei file binari non verificati?

source-code compiler integrity

posta rubberband876 03.10.2018 - 00:23

fonte

1 risposta

Leggi altre domande sui tag source-code compiler integrity

Un amministratore deve legittimamente accedere ai propri registri generati da auditd? FireFox Download Source

score 6 · Accepted Answer

È più difficile nascondere una backdoor nel codice sorgente piuttosto che in un file binario. Qualcuno potrebbe facilmente aggiungere un po 'di codice prima di compilare un binario, ma lasciare il codice extra non pubblicato. Se lo costruisci da solo, allora puoi essere abbastanza sicuro (al di fuori di un compilatore compromesso, o comandi di rete nel makefile) che il codice che hai scaricato riflette effettivamente ciò che è nel binario.

In teoria, ad un certo punto nel tempo ogni riga di codice in Chromium, Linux, Firefox, ecc. è stata vista da almeno una persona. Inoltre, qualcuno guarda sicuramente ad ogni cambiamento fatto. Se il codice sorgente era mai non dannoso, sarebbe difficile renderlo dannoso.

Dubito molto che qualcuno abbia disassemblato l'eseguibile binario e abbinato all'assembly al codice sorgente. Sarebbe altrettanto facile aggiungere un comportamento malevolo a un file binario distribuito senza che nessuno sia più saggio, soprattutto se le build non sono riproducibili.