Làm cách nào tôi có thể xác nhận rằng các nhị phân trong Ubuntu của tôi là từ mã nguồn mà nó phải đến từ?

Giống như 99% người dùng, tôi cài đặt Ubuntu từ các tệp nhị phân đã sẵn sàng.

Làm cách nào tôi có thể tự xác minh rằng các tệp nhị phân đó thực tế là từ mã nguồn gốc từ Ubuntu?

Sẽ tốt hơn nếu xác minh rằng NSA / ai đó đã không hợp tác với Ubuntu hoặc Linode (nhà cung cấp VPS của tôi) để gây rối với các tệp nhị phân. Nếu chúng tôi có thể xác minh các tệp nhị phân, họ cũng sẽ không thể thử điều này ngay từ đầu vì sẽ dễ dàng gọi chúng ra trên đó.

Bạn có thể tải về mã nguồn và tự biên dịch nó. Nhưng chờ đã - trước tiên bạn phải kiểm tra mã nguồn đó, bởi vì nếu Canonical hợp tác với NSA, có lẽ họ đã nhập một số mã ở đâu đó để cho phép keylogger hoặc thứ gì đó có thể được kích hoạt từ xa.

Vì thế...

1. Sau khi tải xuống mã nguồn,
2. bạn phải kiểm tra tất cả mã
3. và sau đó biên dịch nó!

Nhưng chờ đã - bạn có thể tin tưởng vào trình biên dịch không?

Nếu bạn không sẵn sàng chấp nhận "vì Ubuntu nói như vậy", thì bạn không thể.

Ubuntu cung cấp các phương tiện thuận tiện để biên dịch một gói trên máy của riêng bạn. Tuy nhiên, không có cách nào để kiểm tra xem tệp thực thi trong gói nhị phân mà bạn đã tải xuống có được lấy từ mã nguồn đó không. Quá trình ký được sử dụng bởi Ubuntu làm giảm đáng kể nguy cơ giả mạo bên thứ ba với các gói, nhưng bạn vẫn phải tin rằng không có mã độc hại nào được thêm vào trước khi biên dịch không được phản ánh trong mã nguồn có thể tải xuống.

Lý do là rất khó để có được chính xác các nhị phân giống như trong các gói đã biên dịch, vì chúng phụ thuộc vào phiên bản trình biên dịch chính xác, các tùy chọn của nó và có thể cũng có một số đường dẫn hoặc biến môi trường được biên dịch thành nhị phân. Vì vậy, bạn sẽ không thể có được chính xác nhị phân tương tự khi tự biên dịch, điều này sẽ "xác minh" nhị phân đã tải xuống.

Thực sự có một cộng đồng nghiên cứu nhỏ xung quanh chính xác vấn đề này - làm thế nào để biên dịch có thể tái tạo.

Phải nói rằng, so sánh thủ công nhị phân được tải xuống và tự biên dịch có thể phát hiện mã được thêm / sửa đổi, do đó sẽ rất rủi ro khi ai đó cung cấp mã nhị phân và mã nguồn để ẩn thứ gì đó trong tệp nhị phân, vì điều này có thể được phát hiện.

Nhưng sau đó cũng có vấn đề về việc tin tưởng trình biên dịch, như đã đề cập ...

Đó là một vấn đề khó khăn để tạo ra các nhị phân chính xác giống nhau trên hai máy khác nhau. Dự án TOR thực hiện điều này như một phần thường xuyên trong bản dựng của họ. Có một mô tả làm thế nào họ làm điều đó. Debian và Fedora dường như có các dự án làm cho điều này có thể thực hiện được cho bản phân phối này, nhưng chúng đang ở giai đoạn đầu. Nó không có vẻ như có bất kỳ công việc thực hiện trong Ubuntu .

Để tái tạo Gói nhị phân Ubuntu, bạn cần tái tạo môi trường mà nó được tạo càng gần càng tốt. Để bắt đầu, trước tiên bạn cần tìm hiểu gói này được biên dịch ở đâu và như thế nào. Dường như không dễ tìm thấy thông tin đó.

Kiểm tra với MD5 của Ubuntu. Nếu MD5 bạn nhận được từ các tệp của mình khớp với tệp được xuất bản bởi Ubuntu thì không ai bị giả mạo với các nhị phân nằm giữa.

Đó là một công việc khó khăn, tôi nghĩ rằng niềm tin ở đây tốt hơn công việc phức tạp này. Nhưng câu hỏi Bạn có thể tin tưởng?

Vì phần mềm nguồn mở cung cấp nhiều quyền tự do cho người dùng thay đổi mã, bạn không thể tin tưởng bất cứ ai.

Hãy tạo một kịch bản cho mục đích này, tôi muốn kiểm tra xem Ubuntu == source code, chờ xem Tại sao bạn không thử so sánh các gói với nguồn của chúng?

1. Xây dựng gói nhị phân cho Ubuntu từ nguồn.
2. so sánh gói nhị phân tự xây dựng với gói được phân phối bởi nhà phân phối.
3. Sử dụng nguồn apt-get -b để tải xuống nguồn.

Nhưng đối với tôi, việc so sánh tốt cung cấp cho bạn các kết quả khác nhau nhỏ do các dấu thời gian, môi trường khác nhau, nhưng điều đó chứng tỏ rằng nó không phải từ mã nguồn!