Исходное сообщение
"Kernel.org подвергся взлому" Отправлено PereresusNeVlezaetBuggy, 02-Сен-11 00:02
>>> Ну и теперь, допустим, взломщик пропатчил git ничего не подозревающему разработчику, чтобы >> Здесь есть одно НО. Чтобы это сработало, git-должен быть пропатчен у всех >> разработчиков. Кстати, это идея ! Аудит кода Git проводится не так >> интенсивно, как аудит кода ядра. Внедрить туда троянский код куда проще. >> А потом уже можно скрыто провести троян для ядра. > Зачем у всех? Остальным достаточно доверять нашему разработчику и не заметить некоторые > мелочи. Нет. Не забывайте, это DVCS. Разработчик работает с _собственным_ репозиторием, из которого накатывает обновления на данный. Поэтому, если только git не «подправлен» и на машине у разработчика, и на сервере с центральным репозиторием, то будет наличествовать различие в коммитах между личным репозиторием разработчика и центральным. Что будет выявлено при следующем коммите или обновлении этого же разработчика. (а если взломан центральный сервер, но он подправляет на лету коммиты при сливании с него обновлении, то как бы и вреда он не принесёт, раз отдаёт чистые файлы... Разве что прямо из репозитория будет собираться конечный проект, без checkout'а, но это уже клиника, ИМХО) > Тут социальные факторы работают больше технических. Хотя идея внедрить код > в git для таких сокрытий тоже неплоха. Угу, или в любую другую VCS. Это будет, возможно, пострашнее, чем внедрение паразита в код SSH...