En liten fråga om öppen källkod

RMS, som iofs har sina brister, sammanfattade det väldigt bra: "There are two kinds of proprietary software developers. There are those who we know include malicious code with their software, and there are those who we do not yet know whether they include malicious code with their software or not."

Det räcker inte att bara läsa koden, eftersom en illvillig kompilator kan lägga till kod vid kompileringen. Eftersom kompilatorn kompilerar sig själv kan det alltså finnas kod som är helt osynlig i källfilerna. Se http://cm.bell-labs.com/who/ken/trust.html

Jo, detta dyker upp då och då. Och Kens hack är onekligen fantastiskt vackert, men om man skall vara lite jordnära så får man nog anta att de binärer av kompilatorer som Debian, Redhat, Suse mfl distribuerar är tillräckligt pålitliga för att man skall kunna andas lugnt. Om man inte tycker det är det nog rimligare att paranoit fundera över hårdvarukomponenterna i ens dator (som ju f.ö. oftast är byggda av onda kommunister!)
Detta är dessutom inte ens på långa vägar det troligaste hacket - om man litar enbart på sin egna kodläsarförmåga är man rätt körd såvida man inte är en savant. Jag har iofs för vana att köra rätt så små och enkla program, och läser ofta igenom koden till dem, men så fort kodbasen överstiger 1000 rader (vilket den gör för det allra flesta program normalt folk kör) är det inga problem att smyga in en säkerhetsbugg som lätt missas av den enskilde användaren.

tldr: Kens hack är ljuvligt, men helt ärligt, inte särskilt högt upp på listan över saker att oroa sig för

Men då är det väl bara att använda en "snäll", välanvänd kompilator? GCC räknas ju nästan som "standard" inom Unix-världen. Som sagt, skulle inte tro att de använder en opålitlig kompilator för att kompilera koden. Alternativt kan man ju kompilera själv.

Tja, finessen i Kens hack är ju att det (såvitt alla kan se) är en snäll kompilator. Och inte heller kan du vara säker på att din egna kompilator är snäll (den kompilerades ju trots allt själv av en kompilator en gång i tiden).

Då kan man väl likaväl gå runt vara rädd för den minsta bit maskinkod, allt har ju en gång kompilerats.

Nja. Man kan skriva maskinkod för hand, utan en kompilator. Jag misstänker att enda sättet att helt skydda sig från Kens hack är just att bygga sina egna kompilatorer från grunden i maskinkod och successivt arbeta sig uppåt mot högre nivå, tills man kan ladda ner källkod att kompilera i sin egen kompilator.

Och det tror du att de flesta gör? Jag ska säga dig, att till och med de som skriver avancerad skadlig kod inte kompilerar det hela med egna kompilatorer.

Tja, det har hänt minst en gång av okunskap.

(länk)

Men ja, generellt är det rätt långsökt skulle jag tro.

Givetvis har du rätt i att det inte hör till vanligheterna. Jag har aldrig påstått något annat. Jag ville bara informera om alternativa sätt att programmera, och diskutera teorin bakom Ken Thompsons hack.

I teorin kan varenda kompilerad kod innehålla skadlig kod, i teorin. Men nu pratar vi om verkligheten, inte teori. I teorin skulle Linuxkärnan innehålla en skadlig kod som aktiverar en bomb inuti din dator, men det är inte troligt. Har du öppnat din dator och kollat? Nej, men du vet att det inte finns någon bomb där.
Samma sak här. I teorin kan det hända, självklart, men det är ju en helt annan sak.

Tack för alla svar tror jag fattat lite mera nu iaf