Jak bezpečný je zdrojový kód?

Vývojář Arch Linuxu Allan McRae si v souvislosti s přidáním schopnosti kontrolovat PGP podpisy zdrojových kódů do nástroje makepkg začal všímat toho, jak mnoho projektů zveřejňuje svůj kód, aniž by poskytlo možnost ověření. Vytvořil tedy přehled verifikovatelnosti zdrojových kódů základních projektů, jež umožní sestavení jádra distribuce. Patnáct procet uvedných projektů neumožňuje žádnou verifikaci zdrojových kódů. Z projektů nabízejících dobrou míru ověřitelnosti pak je většina GNU software, u nejž je podepisování standardem. Z rychlého průzkumu mezi dalšími projekty se navíc zdá, že situace tam je ještě horší. V takovém případě poskytuje podepisování balíčků a repozitářů distribucí spíše falešný pocit bezpečí.

12.4.2012 11:31 | Nicky726 | Zajímavý článek

Komentáře

[lmb]

Papežštější než papež

Celých dlouhých 10 let s*ali, snad jako jediná linuxová distribuce, na podepisování distribučních balíčků a teď budou najednou poukazovat že chybí u zdrojáků upstreamu. Ať se jdou zahrabat …

[Satai]

Beru to spis jako upozorneni na to, ze podepisovani balicku muze byt za urcitych okolnosti jen bezpecnostnim divadlem.

[mrv]

OMG

[Snurka]

Co tady dela tenhle spam? Administrátoři tohohle serveru ho měli již dávno smazat!

[Redi]

Ano, tebe.

[Bystroushaak]

Příloha:

• ymbnh.jpg (27651 bytů)

[otula]

a teď budou najednou poukazovat že chybí u zdrojáků upstreamu

Vadí ti, že na to upozornil? Z jakého důvodu? A kdyby na to upozornil Pepa z Depa, tak by to bylo OK?

[xm]

Právě proto, že je pořád někdo kritizoval, že balíčky nepodepisují, je jedině fér když teď upozorní na to, že i když podepisování už zavedli se stejně vlastně nic moc nemění, protože nepodepisuje samotný upstream. Že je to tedy vlastně tak trochu divadlo.

Třeba tím alespoň někoho z upstreamu k tomu podepisování dokopou, tak jako uživatelé dokopali je...

[Vladimír Čunát]

+1 moje řeč (ač jsem Arch nikdy nepoužíval)

[stativ]

Papežštější než papež

To je pěkný, takže když vím o podobném problému, jako jsem měl já, tak mám držet hubu.

Celých dlouhých 10 let s*ali, snad jako jediná linuxová distribuce, na podepisování distribučních balíčků a teď budou najednou poukazovat že chybí u zdrojáků upstreamu. Ať se jdou zahrabat …

Nikdo na to nesral, nebyli na to lidi. Arch na rozdíl od většiny (ne-li všech) ostatních distribucí nemá jediného placeného vývojáře. Diskuze o podepisování balíčků se objevovali pravidelně, ale kdykoliv došlo na to, aby tti, co nejvíc o podepisování křičí něco udělali, diskuse záhadně skončila. Abych ale nekřivdil všem, možná jednou, dvakrát, se v tom kdosi začal vrtat, ale bez výsledků.

[lmb]

Na implementaci toho podepisování nic složitýho nebylo. Osobně jsem si vyměňoval na toto téma a o pacmanovi + ABS korespondenci maintainerem cactusem. Dokonce jsem mu poslal funkční řešení (ke každýmu sestavenýmu balíčku vygenerování .asc souboru s gnupg podpisem, verifikace před instalací), ale z jeho strany těžkej nezájem, resp. chtěl abych to přepsal z bashe do pythonu. Na to jsem se mu už ale zvysoka vy…

[pavlix]

Takže nevyhovoval bash? To může být celkem pochopitelné.

[lmb]

Jinak byla sranda s nima rozebírat třeba funkcionalitu pacmana, kdy se mě snažili přesvědčovat, že třeba hledání instalačního balíčku podle adresáře není a nebude, protože prázdné (bez cílového souboru) neexistují a že je to zbytečné. Když jsem jim konkrétně doložil u min. pěti balíčků z Core, že se mýlí, tak jen hráli mrtvého brouka. Opakovaně jsem měl možnost se přesvědčit o jejich nekompetentnosti a aroganci. Už je to ale dýl, možná se už ve vedení něco změnilo, ale mě to už nezajímá, přešel jsem na jinou distribuci a nehodlám se vracet.

[Milra]

Takze zhrzeny uzivatel s pifkou na Archa. A na kterou dokonalou distribuci racila tvoje milost prejit?

[bubla]

Arogantní jsou sice fest (taky mám tu zkušenost), ale pokud makají, tak se člověk musí přizpůsobit jim.

A tak je tomu i v životě

[A]

jenom pro zajimavost, verifikace se cesky rekne overeni.

[SPM]

Verifikace už česky je :)

[pavlix]

A jak se česky řekne validace?

[Martin Mareš]

Jaký vlastně cítíš rozdíl mezi verifikací a validací? Já je vnímám jako hodně podobná a dost obecná slova, jejichž přesný význam je tak jako tak dán kontextem, typicky tím, že řekneš, že se jedná o verifikaci/validaci/ověření nějaké vlastnosti.

[Tomáš]

Anglicko-český slovník nabízí překlad validation=potvrzení. V používání těchto slov v češtině je dost velký nepořádek, takže se na jednotném výkladu asi neshodneme. Já to vnímám asi takhle: verifikace je to, když kontroluje že jsem dostal to, co mi někdo odeslal (že nedošlo k chybě při přenosu), validace je pak to, že přijatá data jsou podle nějakých kritérií správná (třeba že XML soubor vypadá tak, jak má vypadat XML soubor, tedy je validní).

[Martin Mareš]

No jo, ale třeba takovému (často strojovému) ověřování, že program dělá to, co bylo specifikováno, se říká verifikace, stejně tak kontrole certifikátů v SSL.

[pavlix]

Pointa v pointě :).

[MaT]

No, to řešíte jen použití v ICT, ale slovo validace se teď také skloňuje ve všech pádech v různých laboratořích - biochemických, genetických...

[Lol Phirae]

Terminologie z oblasti metrologie (2. vydání) (což je český překlad International Vocabulary of Terms in Legal Metrology) radí slovo validace raději nepřekládat. :) Verifikaci překládá jako ověřování. Viz 2.44 a 2.45.

[LaLa]

Verifikace validity?

[Honz]

Venerifikace invalidity...

[frEon]