Bagaimana saya bisa mempercayai program Open Source?
Saya punya pertanyaan tentang program Open Source. Bagaimana saya bisa yakin program open source aman dan tidak memata-matai saya? Misalnya, saya menginstal Firefox di Linux dan bagaimana saya yakin program ini aman! Memang benar bahwa Firefox adalah open source, tetapi siapa yang bisa membaca jutaan baris kode !. Pengguna menggunakan perangkat lunak sumber terbuka dan mempercayai mereka karena mereka adalah sumber terbuka dan semua orang dapat membaca dan memeriksa kode, tetapi tidak ada yang melakukannya. Saya kira beberapa perusahaan dan pemrogram menyalahgunakan pola pikir pengguna ini dan dapat melakukan apa saja. Program Sumber Tertutup tidak memiliki kepercayaan diri apa pun dan menurut saya ini juga berlaku untuk program Sumber Terbuka yang besar.
Jawaban
Memang benar bahwa pengembang aplikasi asli bisa saja jahat: Makalah Ken Thompson yang terkenal (dan mani, dan juga sangat mudah dibaca) " Reflections on Trusting Trust " menjelaskan seberapa dalam lubang kelinci itu bisa masuk. Keamanan mutlak sangat sulit dicapai, dan perangkat lunak bebas bukanlah solusi yang sempurna untuk ini. Namun antara keamanan absolut dan tidak ada keamanan ada jurang pemisah, dan tidak semua lokasi di teluk itu setara.
Ada orang lain yang mungkin berbahaya, yang kepadanya perangkat lunak gratis dapat membantu melindungi Anda. Pengembang komersial dapat, dan sering, menulis perangkat lunak yang setidaknya sebagian bertentangan dengan kepentingan pengguna mereka. Anda tidak memiliki cara untuk mengetahui apa yang dilakukan perangkat lunak itu - tentu tidak ada yang semudah memeriksa kode sumber, untuk semua itu sulit.
Ada banyak orang selain pengembang yang terlibat dalam pengemasan perangkat lunak dan rantai distribusi yang mungkin ingin Anda sakit, dan di sini juga, perangkat lunak gratis dapat membantu. Gerakan Reproducible Builds bertujuan untuk memungkinkan orang-orang yang tidak bergantung pada distributor untuk membangun perangkat lunak dari sumber yang disediakan; Anda kemudian dapat membandingkan checksum binari Anda dengan yang mereka hasilkan, untuk lebih yakin bahwa perangkat lunak yang Anda jalankan benar-benar merupakan representasi tepat dari kode sumber yang menjadi hak Anda.
Jadi tidak, perangkat lunak gratis tidaklah sempurna. Tapi itu jauh lebih baik daripada menjalankan beberapa biner acak yang disertakan dalam CD-R dengan webcam aneh yang baru saja Anda beli dari internet.
Kamu tidak bisa.
Satu-satunya perbedaan adalah, bahwa dengan perangkat lunak sumber terbuka, setidaknya ada kemungkinan pintu belakang terungkap. Dalam kasus sumber tertutup, peluangnya mendekati nol (mungkin jika produser paling terhormat melakukan kesalahan ).
Perhatikan, sebenarnya mencari celah keamanan dalam perangkat lunak adalah keahlian yang berbeda dari mengembangkannya, sehingga kompleksitas kode tidak melindunginya dari audit keamanan dengan kuat seperti yang kita pikirkan dengan mata orang awam. Ada banyak trik yang bisa digunakan, misalnya dengan selalu memeriksa perbedaan kodenya, atau menggunakan berbagai perangkat lunak untuk memeriksa kemungkinan kerentanan dan kemudian menganalisanya dengan otak manusia.
Apa yang bisa berhasil, jika Anda menggunakan kombinasi perangkat lunak opensource di mana untuk merusak sistem Anda, salah satunya perlu memutuskan keduanya. Misalnya, menggunakan aplikasi opensource di mesin virtual - untuk memecahkan mesin host Anda, VM dan aplikasi harus di-crack.