Riesgos asociados con la compilación de proyectos de código abierto

Necesitas mirar la cadena de confianza. ¿Confía en la fuente del autor del código, si usted o alguien de su confianza revisó el código? ¿Confía en el compilador ? De hecho, es posible que se distribuya un compilador que inserta puertas traseras, código malicioso, etc.

  

Reflexiones de Ken Thompson sobre la confianza en su confianza, su Premio Turing   discurso de aceptación en 1984, fue el primer trabajo importante para describir    problemas de backdoor de caja negra, y señala que la confianza es relativa .

También es posible que su compilador no actúe según lo previsto y podría reducir la inseguridad del código :

  

Cuatro investigadores en Informática e Inteligencia Artificial del MIT   Laboratorio, en un documento que se presentará la próxima semana en la ACM.   Simposio sobre Principios de Sistemas Operativos, analizó el problema de   código inestable de optimización, que es el código que se elimina por un   compilador porque incluye un comportamiento indefinido. Comportamiento indefinido es   código que puede comportarse de forma impredecible, como dividir por cero, nulo   Desreferenciación de punteros y desbordamientos de búfer. A diferencia de otro código,   los escritores de compilación son libres de lidiar con un comportamiento indefinido sin embargo   deseo. En algunos casos, optan por eliminarlo por completo, lo que puede   provocar vulnerabilidades si el código en cuestión contiene seguridad   cheques.

Sí, el compilador, como cualquier otro programa que ejecuta código en su computadora, puede usarse para agregar instrucciones maliciosas en un programa, antes o también después de compilarlo (eg encabezado de ELF y manipulación de secciones ).