私が使用しているオープンソースコードが悪意のあるものではないことを確認するにはどうすればよいですか？

Question

私は、オープンソースプロジェクト、特にpopen()またはsystem()への呼び出しを含む数千行のコードを持つプロジェクトで、コードの安全性についてどのように確認できるか疑問に思っていました。 そこに有害なコードや悪質なコードがないことを知る方法はありますか？ コードを安全に調べることができますか？

Answer 1

私は短い答えは、あなたができないということですどのように私は、オープンソース・プロジェクトにコードの安全性について確認することができます

を思っていました。

はい、理論的には、コードベース全体を調べて、独自のコードではできない監査が可能ですが、それには時間がありますか？一方、大規模なプロジェクトの多くは、ボランティアの貢献者がコードを常に見ている人が多い傾向があり（ApacheやGNUなど）、それは外見上の良質な動機があるため、悪意のあるコードはおそらくかなり早く発見され、フラグが立てられます。

と言われていますが、one totally disastrous security flawはオープ​​ンソースソフトウェアに影響を及ぼし、2年間は検出されませんでした。第三者が狂った複雑な（そしてひどく書いた）オープンソース製品を修正する可能性があったので、それは正確にでした。修正を行った人は、彼らが何をしているのか分からなかった。誰がコードを読むことができると考えていたのでしょうか...

Answer 2

オープンソースなので、コードを調べることができます。他の人もそうであるように、（非常に）限られた数の人がコードを参照するクローズドソースより安全性が潜在的にはるかに優れています。あなたのバージョン管理システム（git）はチェックサムを計算して、変更されたコードを検出します。

ソースコードを10分探していると、ソフトウェアを信頼できないと判断することがよくあります。多くの選択肢がある場合は、それで十分です。

Answer 3

オープンソースプロジェクトでの明らかな（理論上は、検証可能な）悪意のあるコードの不足は、その安全性を保証しません。

理由はセキュリティバグが悪質な入力によって悪用されるためです。

たとえば、あなたの好きなオープンソースの画像/ドキュメント/どのようなビューア（またはWebブラウザ）でも、これらのバグの1つ以上を持つことができます。悪意を持って作成されたファイルを開くと、そのファイルを取得できます。

オープンソースソフトウェアには商用ソフトウェアよりもセキュリティバグが多いとは言えませんが、非常に一般的なプロジェクトではない場合や、そのセキュリティ上の欠陥について誰も責任を負いませんあなたは大変なことがあります。そのようなバグがあり、それらに関心を持ち、修正している人はごくわずかです。つまり、プログラマはビルドが大好きです。それは楽しいです。セキュリティは難しく、しばしばそれには二次的です。

Answer 4

オープンソースであるかどうかに関係なく、プロジェクトのコードの安全性を100％保証することはできません。自分で書いたことのないコードやソフトウェアを使用する場合、必然的にサードパーティの作者に対する一定の信頼レベルを想定します。プロジェクトがオープンソースの場合は、コードを心臓のコンテンツに合わせて監査することができますが、他の回答者が既に指摘しているように、完全な行単位の検査を実行する時間/リソースはありません。

あなたはケン・トンプソンの「反省の信頼信託の」記事にこのような問題についてのさらなる反射のための興味深い読み取りを見つけるかもしれない：

http://cm.bell-labs.com/who/ken/trust.html