security - 验证远程开源软件

Question

试图围绕如何实现这一点，甚至不确定这是否真的可能。简单来说，如果我编写了一个开源软件，该软件将与在其他地方运行的其他实例进行交互，有没有办法验证远程软件没有被篡改？当我信任的本地软件实例 X 联系到未经验证的实例 Y 时，我能做些什么来防止有人简单地撕掉实际的验证代码并在他们的版本中“返回 true”？

不管我是怎么想到的，似乎总是需要一个中央信任源（就像在证书链中一样），而直接的对等信任是不可能的。即使有远程信任源，我也不确定如何验证/验证对等方的行为是否正确，而不仅仅是声称它是正确的。

这只是我试图解决的一个学术或设计问题，我没有具体的用例或实现来提供示例。

标签： securityp2p

Answer 1

不要验证软件，验证输入和输出的一致性。