Wie kann ich Open Source-Programmen vertrauen?
Ich habe eine Frage zu Open Source-Programmen. Wie kann ich sicher sein, dass ein Open Source-Programm sicher ist und mich nicht ausspioniert? Zum Beispiel habe ich Firefox unter Linux installiert und wie kann ich sicher sein, dass dieses Programm sicher ist? Es ist wahr, dass Firefox Open Source ist, aber wer kann eine Million Codezeilen lesen!. Benutzer, die Open Source-Software verwenden und ihnen vertrauen, weil sie Open Source sind und alle Benutzer Codes lesen und untersuchen können, aber das tut niemand. Ich denke, einige Unternehmen und Programmierer missbrauchen diese Einstellung der Benutzer und können alles tun. Closed Source-Programme haben kein Vertrauen und ich denke, dass dies auch für große Open Source-Programme gilt.
Antworten
Es ist wahr, dass der Entwickler der ursprünglichen Anwendung böswillig sein kann: Ken Thompsons berühmtes (und wegweisendes und auch gut lesbares) Papier " Reflections on Trusting Trust " macht deutlich, wie tief dieses Kaninchenloch gehen kann. Absolute Sicherheit ist sehr schwer zu erreichen, und freie Software ist kein perfektes Mittel dafür. Aber zwischen absoluter Sicherheit und keiner Sicherheit gibt es eine ziemliche Kluft, und nicht alle Orte in dieser Kluft sind gleichwertig.
Es gibt andere Leute , die böswillig sein könnte, gegen die freie Software kann Ihnen helfen verteidigen. Kommerzielle Entwickler können und tun dies häufig, um Software zu schreiben, die den Interessen ihrer Benutzer zumindest teilweise zuwiderläuft. Sie haben keine Möglichkeit zu wissen, was diese Software tut - sicherlich keine, die so einfach ist, wie den Quellcode zu untersuchen, trotz allem, was schwierig ist.
Es gibt viele andere Personen als den Entwickler, die an der Softwareverpackung und -vertriebskette beteiligt sind und sich möglicherweise eine Krankheit wünschen, und auch hier kann freie Software helfen. Die Reproducible Builds- Bewegung soll es Menschen ermöglichen, die unabhängig von den Distributoren sind, Software aus den bereitgestellten Quellen zu erstellen. Sie können dann die Prüfsummen Ihrer Binärdateien mit den von ihnen erstellten vergleichen, um mehr Vertrauen zu haben, dass die von Ihnen ausgeführte Software tatsächlich eine getreue Darstellung des Quellcodes ist, auf den Sie Anspruch haben.
Also nein, freie Software ist nicht perfekt. Aber es ist viel besser, als eine zufällige Binärdatei auszuführen, die auf einer CD-R mit der seltsamen Webcam geliefert wird, die Sie gerade aus dem Internet gekauft haben.
Du kannst nicht sein.
Der einzige Unterschied besteht darin, dass bei einer OpenSource-Software zumindest eine gewisse Wahrscheinlichkeit besteht, dass eine Hintertür aufgedeckt wird. Im Fall von Closed Source liegt die Chance nahe bei Null (möglicherweise, wenn der am meisten geehrte Produzent einen Fehler begeht ).
Beachten Sie, dass das Suchen nach Sicherheitslücken in einer Software eine andere Fähigkeit ist als das Entwickeln. Daher schützt die Komplexität des Codes ihn nicht so stark gegen ein Sicherheitsaudit, wie wir es mit Laienaugen denken würden. Es gibt viele Tricks, zum Beispiel, indem Sie immer nach den Unterschieden des Codes suchen oder verschiedene Softwaretools verwenden, um nach möglichen Schwachstellen zu suchen und diese dann vom menschlichen Gehirn zu analysieren.
Was könnte funktionieren, wenn Sie eine Kombination von OpenSource-Software verwenden, um Ihr System zu beschädigen, müssen Sie beide beschädigen. Verwenden Sie beispielsweise die OpenSource-App in einer virtuellen Maschine. Um Ihre Host-Maschine zu knacken, müssen sowohl die VM als auch die App geknackt werden.