Как вы проверяете целостность загруженных файлов с открытым исходным кодом? - PullRequest
2 голосов
/ 25 ноября 2011

Я хотел бы начать проверять, что разработчики открыли проекты с открытым исходным кодом, которые я использую в своих приложениях.Я заметил, что многие проекты имеют дайджесты SHA1 и MD5, предположительно, они могут быть легко подделаны, например, если хакер заменит оригинальный zip-файл на зеркале, они также могут заменить .md5 и .sha1.

Как проверить целостность сторонних библиотек с открытым исходным кодом, от которых я зависел?

Ответы [ 3 ]

2 голосов
/ 25 ноября 2011

Думаю, для этого нет надежного способа, так как хакер может изменить исходные файлы и свои (md5 или sh1) файлы. Он просто может заменить весь проект другим. поэтому загрузите исходный код с доверенных сайтов, таких как sourceforg и code.google.com, и codeproject и зеркала, рекомендуемые этими сайтами.

1 голос
/ 25 ноября 2011

как правило, проект с открытым исходным кодом, хотя он открыт для всех, чтобы загружать и модифицировать себя, возможность реально изменять загруженные файлы ограничена определенными лицами, управляемыми владельцем проекта.

Хорошим примером является https://github.com/thecodemine/formwizard,, где вы можете видеть ссылку только для чтения, но не можете изменять напрямую, если у вас нет авторизации.

Однако вы можете переместить проект в свою учетную запись и изменить его по своему усмотрению, например https://github.com/AlexKey/formwizard

Я также думаю о больших проектах с открытым исходным кодом, таких как, например, дистрибутивы Linux, даже код / ​​файлы, загруженные уполномоченными лицами, также будут проходить строгие проверки перед официальным выпуском.

Конечно, хакер по компромиссусистема может изменять файлы по желанию, но это не является недостатком модели с открытым исходным кодом, но вместо этого может стать проблемой для любого проекта.

Также такие вещи, как подписывание кода, помогают обнаруживать несанкционированное изменение.

http://en.wikipedia.org/wiki/Code_signing

Подписание кода - это процесс ввода цифрy подписывать исполняемые файлы и сценарии, чтобы подтвердить автора программного обеспечения и гарантировать, что код не был изменен или поврежден с тех пор, как он был подписан с использованием криптографического хэша.

0 голосов
/ 25 ноября 2011

Вы не погуглили свой вопрос. Если вы сделаете это, вы получите много информации об этом. Ссылка ниже научит вас проверять целостность загруженного файла.

https://help.ubuntu.com/community/HowToMD5SUM

Вы также можете проверить следующую ссылку, которая показывает, что очень трудно изменить или заменить файлы .md5 и .sh1.

Вот ссылка.

...