> Heu... Les paquets Debian tu peux les recomplier.
Tu peux. Le fais tu ? Non parce que "pouvoir" ne te protège en rien. C'est le faire qui peut éventuellement te protéger. Le fait est que tu ne le fais probablement pas, la plupart des gens non plus.
Et même en recompilant :
Avec quel compilateur ? qui te dit que les sources du compilateurs sont honnêtes et ne rajoutent pas la backdoor ?
Ok, tu peux vérifier les sources du compilateur et le recompiler, mais comme pour le recompiler tu auras toujours besoin d'un compilateur binaire tu l'as dans le ***
(et pour l'anecdote le coup du compilateur qui met une backdoor dans certains softs et qui rajoute le code malveillant quand il voit qu'il se recompile lui-même, c'est quelque chose qui a effectivement existé donc ce n'est pas totalement fictif).
Tu n'as que deux portes de sorties :
- décompiler pour voir que ça ressemble à ce que tu as comme source
- démarer d'un petit compilateur que tu as fait toi même en assembleur et qui te permet de compiler un compilateur plus gros, et ainsi de suite (en auditant les codes sources à chaque fois).
> Il n'y a pas énormement de monde qui le fait, mais si les binaires ne
> correspondaient pas au code source disponible on en entendrait
> parler très rapidement à mon avis !
Le fait est qu'on en entend parler de temps en temps de problèmes dans les sources, mais pas toujours si rapidement que ça. L'idée des millions de développeurs qui vérifient les sources c'est attirant mais largement illusoire.
En pratique si tu compromet sourceforge ou un dépot, que tu changes le source pendant quelques jours avant de remettre le bon, il y a peu de chances que ça se voit. Je ne parle même pas des malins qui mettent les bidouilles dans des fichiers "annexes" que peu de gens vérifient, comme les fichiers makefile et associés (cas de Xchat à mon souvenir).
Bref, avoir les sources ça aide, mais ce n'est pas la protection ultime que beaucoup pensent. Et globalement ça ne fonctionne de toutes façons que si on s'en sert.
[^] # Re: et là on dit...
Posté par Éric (site web personnel) . En réponse au journal Sony, rootkit et WoW. Évalué à 3.
Tu peux. Le fais tu ? Non parce que "pouvoir" ne te protège en rien. C'est le faire qui peut éventuellement te protéger. Le fait est que tu ne le fais probablement pas, la plupart des gens non plus.
Et même en recompilant :
Avec quel compilateur ? qui te dit que les sources du compilateurs sont honnêtes et ne rajoutent pas la backdoor ?
Ok, tu peux vérifier les sources du compilateur et le recompiler, mais comme pour le recompiler tu auras toujours besoin d'un compilateur binaire tu l'as dans le ***
(et pour l'anecdote le coup du compilateur qui met une backdoor dans certains softs et qui rajoute le code malveillant quand il voit qu'il se recompile lui-même, c'est quelque chose qui a effectivement existé donc ce n'est pas totalement fictif).
Tu n'as que deux portes de sorties :
- décompiler pour voir que ça ressemble à ce que tu as comme source
- démarer d'un petit compilateur que tu as fait toi même en assembleur et qui te permet de compiler un compilateur plus gros, et ainsi de suite (en auditant les codes sources à chaque fois).
> Il n'y a pas énormement de monde qui le fait, mais si les binaires ne
> correspondaient pas au code source disponible on en entendrait
> parler très rapidement à mon avis !
Le fait est qu'on en entend parler de temps en temps de problèmes dans les sources, mais pas toujours si rapidement que ça. L'idée des millions de développeurs qui vérifient les sources c'est attirant mais largement illusoire.
En pratique si tu compromet sourceforge ou un dépot, que tu changes le source pendant quelques jours avant de remettre le bon, il y a peu de chances que ça se voit. Je ne parle même pas des malins qui mettent les bidouilles dans des fichiers "annexes" que peu de gens vérifient, comme les fichiers makefile et associés (cas de Xchat à mon souvenir).
Bref, avoir les sources ça aide, mais ce n'est pas la protection ultime que beaucoup pensent. Et globalement ça ne fonctionne de toutes façons que si on s'en sert.