質問: ダウンロードしたオープンソースファイルの完全性をどのようにチェックしますか? 私は自分のアプリケーションで使っているオープンソースプロジェクトが開発者がリリースしたものであることを確認したいと思います。私は、SHA1とMD5のダイジェストを持つプロジェクトが多いことに気付きました。おそらく、たとえば、ハッカーがミラー上のOrginial Zipファイルを置き換えて、.md5と.sha1を置き換えることができます。 私が依存しているサードパーティのオープンソースライブラリの完全性をチェックするにはどうすればよいですか?
回答: 通常はオープンソースプロジェクトですが、ダウンロードして変更することはできますが、実際にアップロードされたファイルを変更する機能はプロジェクトオーナーが管理する特定の個人に限られています。 良い例はです。この例では、唯一のリンクですが、承認されない限り直接変更することはできません。 However you can fork the project to your own account and modify as you wish, for example 私はまた、例えば、Linuxディストリビューションのような大規模なオープンソースプロジェクトを推測しています。公認された個人がアップロードしたコード/ファイルも、正式リリース前に厳格なレビューを行う予定です。 システムを腐敗させるハッカーは、自由にファイルを変更することができますが、これはオープンソースモデルの弱点ではありませんが、代わりにどのプロジェクトでも問題になる可能性があります。 また、コード署名のようなものは不正な変更を検出するのに役立ちます。 http://ja.wikipedia.org/wiki/Code_signing > コードの署名は、実行可能ファイルにデジタル署名するプロセスです。 > ソフトウェアの作成者を確認し、コードが持つことを保証するためのスクリプト > それが使用されて署名されて以来、変更または壊れていない > 暗号ハッシュ。 > >