Есть ли защита пакета от backdoor внедренного maintainer'ом?

Question

[inakrin]

Задумался сейчас над этим вопросом и не нашел ответа.
А какая защита существует от того, что мейнтейнер, собирающий rpm или deb например пакет для какого-нибудь Linux, может внедрить туда backdoor по собственной злонамеренности или под давлениеv со стороны?
Какие есть гарантии того, что пакет скачанный из репозитория не содержит бекдоров внедренных мейнтейнером?

Comments

[sim3x]

сначала дай определение "бекдор"

[inakrin]

var important_random_number=12345; //Evil guy code

[sim3x]

inakrin: почему ошибка в коде названа бекдором?

[inakrin]

Потому что это ошибка, которую предположительно модет добавить в код мейнтейнер. _Специально_.

Answer 1

[Adamos]

Обычно есть два репозитория - один с бинарниками, другой с исходниками.
Не верите майнтейнерам - компилите сами, кто ж вам мешает.
Не верите заодно и автору - читайте код, он открыт.
Кто угодно может проверить, собрать все самостоятельно и убедиться в аутентичности или заметить подлог.
Поэтому обычно майнтейнерам можно доверять...

Можете спросить себя, какая у вас защита от бэкдора в проприетарном софте, который вам предоставляется в бинарном виде в аренду на условиях лицензии. Так, для сравнения.

Comments

[kompi]

Парадоксально, беспокоиться о бэкдорах в open source в доминирующем мире closed source.

[Adamos]

kompi: никакого парадокса - выросшие в клетке панически боятся открытого неба, это вполне естественно.
Вопрос в том, преодолевают ли они этот страх или ищут того, кто за них все решит, как они привыкли.

[inakrin]

Вопрос не в философии и идеологии опенсурс. Если что у меня FreeBSD на десктопе 5 лет стояла. Вопрос в том - если мэйнтейнер вставлет например в код openssl перед сборкой пакета срочку вроде var important_random_number=12345; //Evil guy code
можно ли это вообще как-то отследить? Есть ли вообще защита от злонамеренности мейнтейнера? Что за холивар вы начинаете, я про проприетарный софт ни слова не сказал. А поинтересовался конкретным вопросом относительно опенсурс. У проприетарного софта куча других проблем - пусть он с ними и живет. Давайте поговорим про опенсурс.

[AVKor]

inakrin: Можно отследить. Читаете весь код во всех используемых пакетах, правите, собираете.

[Adamos]

inakrin: Если вам кто-то поставляет готовый софт - какая у вас может быть защита от его злонамеренности? Только самостоятельная компиляция из исходников позволит вам быть уверенным, что результат соответствует оригиналу. Ну, не учитывая возможности закладки в компиляторе и в "железе" ;)
На самом деле, этот вопрос не только вас волнует. Посмотрите здесь, например: www.theregister.co.uk/2015/02/23/debian_project

Answer 2

[Сергей Н]

Каждый из пакетов подписывается на закрытом ключе, ключи распространяются с дистрибутивом. Весь вопрос в том, кто владеет закрытым ключом для подписи.
Если это создатели дистрибутива, то они доверяют мейтнейнеру и, вероятнее всего, подписывают пакеты не глядя в изменения. Возможно, у них есть какой-то дополнительный контроль за самими мейнтейнерами, но я про такой не слышал. В любом случае, это надо выяснять для каждого конкретного дистрибутива, узнавать их модель разработкии и способы контроля качества. Думаю, вы найдёте публикации на официальных сайтах.