Comment s'assurer qu'une application Android a bien été compilée à partir de ce code source?

Question

Beaucoup d'applications Android sont open source, mais comment pouvons-nous nous assurer que la personne qui télécharge finalement sur le Google Market n'inclut pas certains logiciels espions juste avant de les télécharger? Contexte: La sécurité des applications mobiles semble être a growing concern, et je voudrais rassurer les utilisateurs de mon application Android Open Source. Les solutions qui nécessitent de modifier le processus de déploiement ou le contenu de l'application sont également acceptables.

2012 mise à jour: Cela va dans le bon sens: http://f-droid.org/ Ils vérifient les applications et les compilent en APK qu'ils distribuent. Cela étant dit, je leur ferais confiance plus si elles étaient Mozilla ou Apache ...

Answer 1

Jetez un oeil à https://stackoverflow.com/questions/249106/how-can-you-give-users-confidence-that-your-application-has-no-malicious-intent pour des informations connexes.

Vous pouvez bien sûr prendre la source et compiler/compiler vous-même et comparer le binaire résultant à celui qui a été téléchargé, mais cela va à l'encontre du but de la distribution binaire. Et cela ne serait toujours pas utile dans les cas où le code source contient du code malveillant. Ou peut-être créer un coffre-fort, c'est-à-dire un binaire de référence approuvé, puis publier le total de contrôle pour comparaison? En dehors de cela, ce problème n'est pas spécifique aux logiciels open source. En fin de compte, tout se résume à la confiance.