CRAN软件包的安全问题
[编辑：2013年6月] ArXiv上发表了一篇论文，详细描述了这个问题，并提出了一些解决方案：http://arxiv.org/abs/1303.4808。 它将在2013年晚些时候出现在统计软件杂志上。
我的Ubuntu服务器上有一个cronjob，用于从CRAN下载并安装每个源代码包。 但是在同一台服务器上，我开始注意到一些不规则的活动。 它可能完全不相关，但它让我想到了是否有可能有一些CRAN软件包包含恶意代码。
创建和发布cran包的过程非常简单。 也许有点太简单了。 你将你的软件包上传到FTP，Kurt会做一个检查并发布它。 随着每天上传的R包数量的增加，可以合理地假设没有对包进行广泛的审计。 也没有使用私钥对包进行签名，就像大多数发行包一样。 即使描述中的电子邮件地址也很少被验证。
现在，在编译时或运行时包含一些安装rootkit的代码并不会很困难。 编译时间可能更加脆弱，因为我使用sudo安装我的软件包，我可能应该停止这样做。 但是在运行时也可以做很多事情。 最近Linux内核有几个安全漏洞，我已经证实自己可以非常容易地通过一个完全最新的系统通过特权升级漏洞获取root。 由于R通常具有互联网访问权限，因此恶意代码甚至不必包含在软件包中，只需使用wget或download.file（）从某处下载即可。
也就是说，R用户是否考虑过这一点？ 或者，大多数情况下，你应该只从你信任的人那里下载软件包。 仍然没有签署不太可靠的软件包。 什么可能是一个更安全的方法来安装cran软件包？ 我曾经考虑过像构建软件包的单独机器，然后复制二进制文件，并且始终在沙箱中运行R. 虽然这有点麻烦。
链接地址: http://www.djcxy.com/p/60057.html