No, mate tu problem, ne ze by kazdy kdo kompiluje kernel zaroven rozumel tomu co kompiluje (kodu), ale lidi, kteri se na vas kod mohou podivat a take podivaji jsou tisice, spis desetitisice. Staci kdyz backdoor objevi jediny z nich a koncite navzdy. Opravdu vam to za to stoji ?
A to nemluvim o tom, ze by jse musel alespon po nejaky (radove mesice) cas udrzet kod "nenarusen" cizim zasahem, protoze vetsina uzivatelu pouziva kernel starsi, provereny, nemluvim bezpecnostnich auditech, ktery si nachaji delat firemni uzivatele ... .
vy nevite, ze kazdy linuxak stravi nekolik mesicu detailni analyzou jadra a vsech pouzivanych knihoven a aplikaci nez si je zkompiluje.. a tady je prave ta obrovska vyhoda distribuce ve forme zdrojovych kodu pred binarni formou..
Stačí se aktivně zapojit do vývoje open source. Několik dobrých patchů a už vás nikdo detailně kontrolovat nebude. Pak pošlete nějaký "patch", který obsahuje promyšlený backdoor. Chvíli to necháte uležet a pak máte volné pole.
Kolik takových zlomyslně dodaných "chyb" už programy a jádro obsahují se můžeme jen dohadovat.
Ono poznat zlomyslnou konstrukci v kódu není žádná sranda. Projdou i náhodné chyby, natož když to je zákeřně vybudované tak, aby to šlo co nejhůř najít - drobnůstka tuhle, maličkost tam, každá věc v jiném místě.
Tak to ja bych zase rekl, ze to vubec zadny problem nebude. Nezapomente prosim, ze vyvoj Linuxu je komunitni vec - a v komunite se vzdycky najde nekdo, kdo je vzhledem ke zbytku obtizne prizpusobivy. Bohuzel, casto jsou to lide mimoradne schopni. Takoveho cloveka je velmi snadne urazit, treba jen tim, ze nesouhlasite s jeho nazorem na nejakou nepodstatnost. Nebo nekomu zahodite vysledek nekolikamesicni prace, protoze se vam coby maintainerovi proste nelibi - viz treba kausa Dalecki a jeho prepisovani IDE subsystemu.
Druha vec, ktera me prilis neuklidnuje, je samotny princip vyvoje Linuxoveho jadra. Tisice souboru od ruznych lidi, ovladace pro obskurni zarizeni... casto se jedna o kod, ktery kdysi nekdo spachal, aby mu to jeho zarizeni fungovalo, a od te doby se na prislusny kod nikdo nepodival. Tyhle 'mene zajimave' casti kodu budou asi hodne 'zablesene'...
Takhle uvaha ma drobnou trhlinku - kde vzit ty "urazene linuxaky"? Predstavuju si to takhle: maintainer nejakeho projektu me nastval, takze jsem teda hlasite prasknul CVS kontem a sel za tezky penize nabonzovat do nejblizsi antivirovy firmy vsechny chyby popsane ve verejne pristupne bugzille toho projektu. Hmm hmm, na tom by se dalo zbohatnout :-)
OK, uznavam, ze nektere bezpecnostni chyby se nejdriv resi na uzavrenych mailing listech konkretnich projektu, nebo treba na vendor-sec@, ale asi se tezko existuje armada tech urazenych linuxaku, kteri maji povedomi o spouste chyb ve vsech moznych programech, drzi je v tajnosti a jen cekaji az se budou moct vypovidat nejake antivirove firme...
Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).
