ฉันจะยืนยันได้อย่างไรว่าไบนารีในอูบุนตูของฉันนั้นมาจากซอร์สโค้ดที่ควรจะเป็น

เช่นเดียวกับผู้ใช้ 99% ฉันติดตั้ง Ubuntu จากไบนารีสำเร็จรูป

ฉันจะตรวจสอบตัวเองว่าไบนารีนั้นมาจากซอร์สโค้ดต้นฉบับจาก Ubuntu ได้อย่างไร

มันเป็นการดีที่จะตรวจสอบว่า NSA / บางคนไม่ได้ร่วมมือกับ Ubuntu หรือ Linode (ผู้ให้บริการ VPS ของฉัน) เพื่อยุ่งกับไบนารี หากเราสามารถตรวจสอบความถูกต้องของไบนารีพวกเขาก็ไม่น่าจะลองสิ่งนี้ตั้งแต่แรกเพราะมันง่ายที่จะเรียกพวกมันออกมา

คุณสามารถดาวน์โหลดซอร์สโค้ดและรวบรวมด้วยตัวคุณเอง แต่รอ - ก่อนอื่นคุณต้องตรวจสอบซอร์สโค้ดนั้นเพราะถ้า Canonical ร่วมมือกับ NSA พวกเขาอาจป้อนรหัสบางแห่งเพื่อให้สามารถใช้ keylogger หรือสิ่งที่สามารถเปิดใช้งานจากระยะไกลได้

ดังนั้น...

1. หลังจากดาวน์โหลดซอร์สโค้ด
2. คุณต้องตรวจสอบรหัสทั้งหมด
3. จากนั้นรวบรวมมัน!

แต่เดี๋ยวก่อนคุณไว้ใจคอมไพเลอร์ได้ไหม?

หากคุณไม่ยอมรับ "เพราะอูบุนตูบอกเช่นนั้น" คุณก็ทำไม่ได้

Ubuntu เสนอวิธีที่สะดวกในการรวบรวมแพ็คเกจบนเครื่องของคุณเอง อย่างไรก็ตามไม่มีวิธีการตรวจสอบว่าปฏิบัติการในแพ็คเกจไบนารีที่คุณดาวน์โหลดนั้นได้รับมาจากซอร์สโค้ดนั้น กระบวนการลงนามที่ใช้โดยอูบุนตูช่วยลดความเสี่ยงของบุคคลที่สามในการดัดแปลงแก้ไขแพ็คเกจ แต่คุณต้องมั่นใจว่าไม่มีการเพิ่มรหัสที่เป็นอันตรายก่อนการรวบรวมที่ไม่ได้สะท้อนอยู่ในซอร์สโค้ดที่สามารถดาวน์โหลดได้

เหตุผลก็คือมันเป็นเรื่องยากมากที่จะได้รับไบนารีเดียวกันอย่างแม่นยำเหมือนที่มีอยู่ในแพคเกจที่รวบรวมเพราะสิ่งเหล่านี้ขึ้นอยู่กับรุ่นคอมไพเลอร์ที่แม่นยำตัวเลือกและอาจมีเส้นทางหรือตัวแปรสภาพแวดล้อมบางส่วนที่รวบรวมไว้ในไบนารี ดังนั้นคุณจะไม่สามารถรับไบนารีเดียวกันได้อย่างแม่นยำเมื่อรวบรวมตัวเองซึ่งจะ "ยืนยัน" ไบนารีที่ดาวน์โหลด

มีชุมชนการวิจัยขนาดเล็กอยู่รอบ ๆ ปัญหานี้อย่างแม่นยำ - วิธีการรวบรวมที่ทำซ้ำได้

ต้องบอกว่าการเปรียบเทียบด้วยตนเองของไบนารีที่ดาวน์โหลดและตัวเองที่รวบรวมได้สามารถตรวจจับเพิ่ม / แก้ไขรหัสดังนั้นมันจะมีความเสี่ยงสำหรับคนที่เสนอไบนารีและซอร์สโค้ดเพื่อซ่อนบางสิ่งบางอย่างในไบนารีเช่นนี้สามารถตรวจพบได้

แต่แล้วก็ยังมีปัญหาในการเชื่อถือคอมไพเลอร์ดังที่ได้กล่าวไปแล้ว ...

มันเป็นปัญหาที่ยากในการสร้างไบนารีเดียวกันที่แน่นอนในเครื่องที่แตกต่างกันสองเครื่อง โครงการ TOR ทำสิ่งนี้เป็นส่วนปกติของงานสร้าง มีคำอธิบายว่าพวกเขาทำได้อย่างไร DebianและFedoraดูเหมือนจะมีโครงการที่ทำให้สิ่งนี้เป็นไปได้สำหรับการแจกแจงนี้ แต่พวกเขาก็อยู่ในช่วงเริ่มต้น มันไม่ได้ดูเหมือนมีงานใด ๆ ทำในอูบุนตู

ในการทำซ้ำแพ็คเกจไบนารีของ Ubuntu คุณจะต้องสร้างสภาพแวดล้อมที่ถูกสร้างขึ้นให้ใกล้เคียงที่สุด เพื่อเริ่มต้นกับสิ่งนั้นก่อนอื่นคุณต้องค้นหาว่าแพคเกจนี้รวบรวมและที่ไหน ดูเหมือนว่าข้อมูลนั้นหาได้ง่าย

ตรวจสอบกับ MD5 ของ Ubuntu หาก MD5 ที่คุณได้รับจากไฟล์ของคุณตรงกับที่เผยแพร่โดยอูบุนตูก็จะไม่มีใครดัดแปลงกับไบนารีในระหว่างนั้น

นั่นเป็นงานที่ยากฉันคิดว่าความไว้วางใจที่นี่ดีกว่างานที่ซับซ้อนนี้ แต่คำถามคุณเชื่อใจได้ไหม?

เนื่องจากซอฟต์แวร์โอเพ่นซอร์สให้เสรีภาพมากมายสำหรับผู้ใช้ในการเปลี่ยนรหัสคุณจึงไม่สามารถไว้ใจใครได้

ให้สร้างสถานการณ์เพื่อจุดประสงค์นี้ฉันต้องการตรวจสอบว่าฉันUbuntu == source codeรอทำไมคุณไม่ลองเปรียบเทียบแพ็กเกจกับแหล่งที่มาของพวกเขา

1. สร้างแพ็คเกจไบนารีสำหรับ Ubuntu จากแหล่งที่มา
2. เปรียบเทียบแพ็คเกจไบนารีที่สร้างขึ้นเองกับแพคเกจที่เผยแพร่โดยการแจกจ่าย
3. ใช้ซอร์ส apt-get -b เพื่อดาวน์โหลดซอร์ส

แต่สำหรับฉันเมื่อเปรียบเทียบกันแล้วจะให้ผลลัพธ์ที่แตกต่างกันเล็กน้อยเนื่องจากการประทับเวลาที่แตกต่างกันสภาพแวดล้อม แต่ไม่ได้พิสูจน์ว่ามันไม่ได้มาจากซอร์สโค้ด!