absolut richtig! Das ist exakt was das Projekt ermöglichen will und deine Aussage bzgl. das es reicht wenn Experten den finalen Beweis antreten und nicht jeder zum Experten avancieren muss ist auch richtig. Aber wem kann man dieses Vertrauen entgegen bringen wenn nicht sich selbst oder wenn es direkt oder abgeleitet zum Standard wird.

Auch deine Anmerkungen zu Checksumen, Hashing sind richtig. Gibt es schon lange aber in Kombination mit dem, dem man vertrauen kann oder besser muss ;.-), ist es ein gutes und bewährtes Mittel für die optimierte Massenprüfung wie sie in Bereichen wir Scannern oder Echtzeitanalyse zu Einsatz kommen kann. Aber klar, ich muss dem der sie publiziert vertrauen. Daher ist diese Idee und das Projekt auch richtig und von besonderer Bedeutung. Aber leider ist es so, dass wenn die Menschen nicht mehr verstehen wie etwas funktioniert oder verwendet wird, wird es ignoriert oder schlicht deaktiviert (Firewalls, Virenscanner, Echtzeitschutz,etc.).

Nicht jeder ist in der Lage ein großes Projekt, geschweige denn ein ganzes OS, zu compilieren und dann das alles noch gehen die Referenz zu verifizieren. Daher müssen diese Technologischen Ansätze in leicht zu verwendende Tools oder indirekt über das OS selbst genutzt werden. Ebenen da sind die erwähnten Checksume- und Hash- Werte eine Alternative.

lle

Der Punkt ist doch, bisher bringen die Checksummen recht wenig. Du weißt nur, dass das was du dir heruntergeladen hast dem erwarteten Ergebnis entspricht. Ob das Ergebnis aber auch dem einsehbaren Code entspricht kann erst durch reproduzierbare Builds nachgewiesen werden. So kann die gesamte Kette vom Code bis zum Nutzer verifiziert werden. Ich finde das sehr wichtig, so können Manipulationen einfach aufgedeckt werden.

Du hast recht, dafür muss der Code kompiliert werden, aber es reicht aus wenn das einer oder wenige machen. Immerhin kann es überhaupt nachvollzogen werden, das war bisher kaum möglich.