Исходное сообщение
"Для 83% пакетов в основном репозитории Debian доказана тожде..." Отправлено Ordu, 15-Фев-15 15:00
> В source-based  я могу гарантировать, что у меня исходники те, что > обещали, и самостоятельно всё собрать. В этом плане мне надо быть > уверенным в корректности полутора пакетов, которыми я бутстраплюсь. Их можно хоть > намертво зафиксировать лет на десять. Плюс проблема в том, что единственный способ проверить бинарь gcc на отсутствие закладок в сорц-базед дистре -- это засунуть этот бинарь в декомпилятор и провести полный аудит результата. Впрочем, можно попытаться скомпилировать им hello-world.c и проверить a.out на отсутствие закладок, но если закладки не будут найдены, то реальный ответ который мы получим: наш gcc не внедряет закладки в hello-world. Вот если бы в сорц-базед дистре была бы воспроизводимая сборка. Чтобы я мог бы взять свой жёсткий диск, воткнуть в другой компьютер и, собрав на другом компьютере другим тулчайном копию своей системы, сравнить все бинари побитово, то это было бы даааа... это было бы ууу... А так остаётся лишь верить в то, что в тулчайне нет закладок. Да, это близко к полутора пакетам. Да их можно обновлять очень редко. Но хоть как-то проверить это невозможно. Если десять лет назад доверенный хост с пакетами и их хешами был компрометирован на десять минут, и именно тогда вы взяли оттуда сорцы gcc с закладкой, то все эти десять лет у вас был тулчайн с закладкой. Вне зависимости от того, обновляли ли вы gcc с тех пор или нет.