如何检查 Linux 发行版是否安全且没有恶意代码？

Question

我是 Linux 新手，我喜欢它。然而，虽然我一直在尝试多种 Linux 版本，但作为 Linux 系统的新用户，我脑海中只有一个问题：如何确保 Linux 发行版安全、可靠和值得信赖，而没有任何后门或恶意软件代码？操作系统？

我开始使用 Deepin，我必须说我喜欢它。前段时间我尝试了 Ubuntu、Zorin、Mint、Kubuntu、Linux Lite、Elementary OS 和其他几个，但它们都需要太多的修补才能达到我想要的方式；但 Deepin 在很多方面都符合要求。它简单、优雅，到目前为止对我想用它的用途非常敏感；但我心中最大的问题是我如何信任这个发行版？

我用我的电脑来做诸如网上银行之类的事情，并在我为公共组织工作时创建保存敏感信息的数据库，并且不能破坏这些数据。

我已经联系了 Linux 基金会，但没有得到任何回应。

我观看了 RMS 谈论 Ubuntu 以及 Ubuntu 如何与 Amazon 共享桌面搜索关键字，我同意他的观点，即这是一个默认的间谍软件，我知道可以关闭和禁用它，但事实是它仍然是一个间谍软件。

请有人告诉我如何确保 Linux 发行版是安全的，可靠的 Linux 组织已经对任何威胁或恶意代码进行了审查？我已经用谷歌搜索了它但是找不到任何关于如何检查基于 Linux 的操作系统的完整性的可靠信息。

Answer 1

简短的回答：你不能。

长答案：Linux 发行版包含构成整个操作系统的几个不同程序——即内核、coreutils、一些 shell 和其他实用程序。

您有两种方法可以验证分发是否可以安全使用：

1. 自己阅读每一个源代码。

您将需要通读大量代码：内核约为 210K LOC（代码行）- 现在添加驱动程序（还有许多 LOC）、coreutils、基本程序......这是多年的工作。这仍然不能保证它不是恶意的——你可能会错过一些东西，它可能被混淆或依赖于硬件错误。

此外，安全不仅仅是恶意的。您可能（有点）对缺乏恶意代码有相当程度的信心，但您（几乎）永远无法确定您的程序是否真的安全。喜欢的东西心脏出血漏洞和弹震刚发生; 没有人能阻止他们。

2. 相信别人

这是更明智的尝试。你选择信任的一群人，你使用他们的程序相信他们的善意。你可以去自由软件基金会页面——这些人非常重视他们的隐私和自由。他们只批准完全免费和开放软件的有限发行版，因此您可以阅读其源代码。使用它们的人并不多，因此支持可能有限 - 但这是一个不错的选择。

你也可以信任其他人——比如 Gentoo 或 Debian 或 Fedora（或任何其他发行版）开发人员。他们把他们的发行版放在一起，他们捆绑了一些程序，然后发布了它们——也许他们没有恶意？

个人笔记：我认为安全、隐私和自由是重要的价值观。然而; 偏执和关心这些价值观之间有一条线。RMS 是偏执的；这不一定是坏事，因为他的声音很大，而且他说的很清楚。由于 RMS，许多人开始关心自由。

然而，这些仍然不能保证安全。莱纳斯定律并非如此简单，而且并不总是有效。许多人认为，因为源代码是开放的，其他人正在阅读它——因此，他们没有必要自己阅读源代码。这给我们留下了一小部分已经阅读了代码的人，甚至更少的人理解了它。它仍然比适当性好，但不如宣传的那么安全。

如果您想绝对安全，请关闭计算机并对其进行拆卸。这是100%确定的唯一方法。