<3封信的政府agency>能在没有人注意到变化的情况下,通过git存储库为项目添加后门吗?
例如,如果恶意黑客获得了对鲁比氏吉特的贡献者访问权限,那么他们是否会以这样一种方式扰乱提交历史,从而使恶意代码无法被注意到?
发布于 2013-10-09 14:50:55
就修改项目的变更历史而言,这将是困难的;git使用的是可以被视为更改的“文件系统快照”。用于区分这些更改快照的标识符git是一个160位的SHA1散列。
虽然加密是安全的,但在git中,这并不是用来防止恶意重写存储库的,而是用于基本数据完整性。如果更改了以前的提交,则SHA1提交标识符将发生更改,但理论上可以找到冲突。
在git中,SHA1散列的加密性质本身不是一种安全机制,而是一种奖励。
您以前提到过linux内核被恶意更改的问题。你可以读这里。
发布于 2013-10-09 11:04:11
git不会自动从远程拔出,用户需要从遥控器调用git pull
来获得新代码,这不是“没有人注意到变化”的代码。
此外,用户可以通过git log <remote-name>
和git show <remote-name>
检查远程以查看这些更改。如果他们发现一个恶意的改变,他们总是可以恢复它。
https://stackoverflow.com/questions/19280297
复制