Исходное сообщение
"На телефонах на базе платформы Android зафиксировано троянск..." Отправлено Aleksey Salow, 13-Авг-10 16:34
>Вы таки телепат? Кроме просмотра кода вы других методов анализа не знаете? Ну расскажите нам, вместе посмеёмся. Помнится дебиановцы OpenSSL через Coverity прогнали, поправили то что он нашёл, в итоге получили предсказуемый ГПСЧ, если мне склероз не изменяет и предсказуемый генератор ключей. Через 9 месяцев вернули всё назад конечно, но осадок остался ;) >Не учитываете что анализ кода делается не от адама, что анализируется критичный >для вас лично код. Не говоря что в опенсорсе никто вам >ничем не обязан. Вам дана возможность, ловите рыбу. А про низкую >квалификацию это вы в бане не скажите, шайками забросают. >На основании двух примеров вы делаете вывод насколько глобальный, настолько и некорректный. Давайте подумает логично, на примере того злополучного дебиановского патча. OpenSSL - это одна из основных подсистем отвечаютщих за безопасность, это очень важная подсистема и нужно чтобы в ней было как можно меньше изьянов. Это значит что любой патч должен проходить строгий аудит, тестирование на регрессии и иметь обоснование необходимости применения. Практика показала что этот механизм не сработал должным образом. Причины я вижу три: 1. Полное отсутствие аудита как такового 2. Халатность проверяющего (что выглядит странно, ибо их должно быть несколько, особенно для такого важного компонента) 3. Недостаточная квалификация проверяющего, который банально не понял что там сделали. Выберите что вам по душе.