对外开源代码包需保证
汽车软件问题，例如吉普车（Jeep）黑客和大众汽车在排放测试中作弊 ，已成为今年的头条新闻，这意味着公众正在前所未有地思考汽车中的软件。 一些专家认为 ，强制将此类软件开源是解决该问题的方法。 尽管对软件进行公开审查有一定的好处，但仅凭代码可见性并不能保证。 正如Sam Liles在最近的一封电子邮件中向我解释的那样，开源代码并没有阻止ShellShock。
Liles博士以前是普渡大学的网络取证教授，在那里他和他的学生研究了汽车和其他物联网设备的安全性。 他说，纵深防御已死，这意味着我们不再可以依靠多层安全保护。 例如，我们的电话和其他个人设备知道关于我们的所有信息：我们去哪里，与谁交流，甚至在做爱时 。 这些设备及其包含的所有信息都存在于我们的个人和工作网络中。 受损的手机可以访问大量信息，或将威胁传播到其他连接的设备。
这些设备的庞大数量本身就是一个挑战。 “谁将在此级别上进行事件响应？” 里尔斯问。 因此，谁来审核所有代码？ 埃里克·雷蒙德（Eric S. Raymond）在《大教堂和集市》中写道：“给了足够的眼球，所有的bug都是浅的，”他称之为莱纳斯定律，但我们不能仅依靠足够的眼球。如果像OpenSSL这样重要且成熟的项目缺乏预防Heartbleed之类的错误的资源，谁将检查每天运行着我们视为理所当然的设备的数百万行软件？
尽管2011年NASA和NHTSA对一宗涉及丰田汽车的意外加速事件的调查发现“ 没有证据表明电子设备的故障导致了较大的意外加速 ”，但其他研究人员已经确定了通过软件产生汽车加速的方法。 IOActive报告读到，“电源管理ECU受到了损害， 加速可能会Swift改变，从而使汽车极不安全地运行 。” 显然，软件是现代汽车安全的重要组成部分。
但是，像Liles小组所做的那样的研究仍然相对较少。 仅分析软件通常很困难。 Liles说：“司法系统几乎从来没有内置在系统中，通常出于法律有效性的目的，需要进行反向工程。” 此外，物联网带来的威胁变化要求进行研究的方式发生根本性的转变。 “许多'古老的'信息保证和安全规则，学说，有时被称为科学，都是基于神话，半真相和过时的技术概念。”
那么开源适合什么呢？ 无论源代码是否打开，偶然的错误（有时很严重）都将继续存在。 开源软件中的Heartbleed，ShellShock和许多其他引人注目的漏洞告诉我们了这种情况。 故意的不当行为会在公开场合变得更加危险，但是公开程度仅在一定程度上有助于我们验证所提供的源代码确实在运行中。 随着汽车成为连接到我们的电话和移动Internet服务的开放系统，这一点变得越来越重要。
翻译自: https://opensource.com/life/15/10/open-source-code-is-not-warranty
对外开源代码包需保证