![是否有可能将恶意软件放置在开源资源中?](https://linux22.com/image/1506457/%E6%98%AF%E5%90%A6%E6%9C%89%E5%8F%AF%E8%83%BD%E5%B0%86%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E6%94%BE%E7%BD%AE%E5%9C%A8%E5%BC%80%E6%BA%90%E8%B5%84%E6%BA%90%E4%B8%AD%EF%BC%9F.png)
假设我是一个非常偏执的人。我担心自己的安全。从 、 或 进行安装时是否可能被感染GitHub
。pip
例如gem
,PPA
有人获得了贡献者的密码,并可能更改某些文件。正如已经发生的情况一样Linux Mint 2016 年 2 月 21 日。
当有人将代码“推送”到存储库时,他们如何检查代码?代码中巧妙隐藏后门的可能性有多大?在不使用虚拟机的情况下,我该怎么做才能确保从低评级存储库安装时是安全的?
答案1
是否有可能将恶意软件放置在开源资源中?
是的,与闭源软件一样。
当有人将代码“推送”到存储库时,他们如何检查代码?
这取决于您所谈论的存储库类型、“他们”是谁以及具体的项目。
代码里面巧妙地隐藏着后门的概率有多大?
鉴于世界上有大量的开源代码,这个数字非常低。然而,你担心的是,某些东西你下载并运行将会出现已知的安全问题,随后被使用,以及该漏洞的影响,这是一个不同且更广泛的问题。
而且,如果不使用虚拟机,我该怎么做才能确保从低评级的 repo 安装时是安全的?
在运行代码之前先阅读代码 - 这是开源软件的优势。否则,您就只能依靠模糊的“其他人”来为您完成这项工作,就像专有软件一样。