Исходный код ядра Linux превышает 40 миллионов строк — код проекта удвоился в размере за десятилетие

[vasiliev-s]

Вопрос "импортозаместителям": каждую строчку проверили, закладок нет, или "на авось" оставили?)))

[vasiliev-s]

О, пошла цензура в карму. Ребята, мне плевать на ваши минусы. Вы со своей "политикой и пропагандой" в любом вопросе - просто жалкие и тупые. От того, что вы мне минусов накидаете, 40 млн. строк кода сами себя не проверят. Там вам слабо.)))

[easty]

Ну справедливости ради код же можно проверять не в ручную, а с развитием ИИ можно кормить ему правила и довольно успешно анализировать. Куча статических анализаторов, которые тоже можно правилами обмазывать.

[vasiliev-s]

Мнение DeepSeek:

Проверка исходного кода Linux (более 40 млн строк) на наличие закладок и бэкдоров — сложная, но частично решаемая задача. Вот ключевые аспекты:

Современные методы анализа:

1. Статический анализ кода (например, Coverity, Clang Static Analyzer, SonarQube):
   — Автоматически выявляют подозрительные паттерны, уязвимости (например, переполнение буфера).
   — Ограничение: Не обнаруживают сложно замаскированные закладки, особенно если они активируются при специфических условиях (например, определенное время или данные).

2. Динамический анализ и фаззинг (AFL, LibFuzzer):
   — Тестируют код в реальном времени, ища аномалии.
   — Ограничение: Покрытие неполное, сложные сценарии могут быть пропущены.

3. Ручной аудит и ревью кода:
   — Сообщество разработчиков и исследователи регулярно проверяют критически важные компоненты (ядро, сетевые модули).
   — Ограничение: Полный аудит всего кода невозможен из-за объема.

4. Мониторинг изменений (Git-репозиторий):
   — Каждое изменение проверяется мейнтейнерами и автоматическими системами (например, патчи ядра Linux проходят строгий ревью).
   — Пример: В 2023 году закладка в XZ Utils была обнаружена благодаря вниманию сообщества.

Вероятность обнаружения:

— Простая закладка (очевидные вызовы system() или сетевые соединения): ~95-99% (легко обнаруживается автоматикой).
— Сложная закладка (активация через редкие условия, энтропию времени, скрытые каналы): ~20-50% (зависит от изощренности).

Общая оценка: Полное обнаружение всех возможных закладок маловероятно. Даже в открытом ПО эксперты оценивают вероятность выявления сложных бэкдоров как 70-85% из-за человеческого фактора и ограничений инструментов.

Известные случаи закладок:

1. XZ Utils (2023): Закладка пыталась внедрить бэкдор через поддельные коммиты, но была обнаружена благодаря аномалиям в производительности.

2. Heartbleed (2014): Непреднамеренная уязвимость в OpenSSL, подчеркнувшая риски даже в популярных проектах.

3. Linux Kernel (2003): Вредоносный код, пытавшийся дать рутовый доступ, был выявлен при аудите.

Вывод:

Linux, как проект с открытым кодом, имеет высокий уровень безопасности благодаря прозрачности и активному сообществу. Однако полная гарантия отсутствия закладок невозможна из-за:

• Объема кода и зависимостей (включая сторонние библиотеки).

• Человеческого фактора (ошибки, социальная инженерия).

• Ограничений инструментов анализа.

Риск можно минимизировать, но не исключить. Для критических систем рекомендуется:
— Регулярные аудиты ключевых компонентов.
— Использование подписанных коммитов и sandbox-сред.
— Мониторинг аномалий в работе системы.

[voidstrx]

Можно же собрать ядро самому и не тащить кучу ненужных драйверов. Интересно посмотреть на статистику строк самого ядра без драйверов.

[isumix]

Лучше значимые символы без whitespace считать. А то строчки бывают и пустые и по 100 символов в длину.