Australská firma Telstra vyhověla GPL a uvolnila kódy

jedna technická: dá se pak nějak (snadno) ověřit, že firma dodává opravdu ty zdrojáky jejichž kompilát mi skončil v zakoupeným HW?

Teoreticky, ak to skompiluješ na rovnakom stroji s rovnakým sw tak by stačil MD5sum...

což právě moc snadný není a bez znalosti železa a commandlajny kterou to kompilovali skoro nemožný

Někdy to nestačí, některé kompilátory např. přikládají do binárek plnou cestu ke zdrojáku (což se může lišit stroj od stroje, ne každý má zdrojáky v /home/jsmith/cor­porate_projec­ts/blabla ....) v rámci debugovacích informací, timestamp zdrojáku, nebo jiné údaje, které funkčnost binárky neovlivní, ale technicky vyprodukují jiný soubor

Teoreticky je to algoritmicky nerozhodnutelna otazka. Prakticky: kdyby se na to nekdo vrhnul, tak odpoved s velkou pravdepodobnosti rucne najde. A jeste prakticteji: je odpoved na tu otazku dulezita? Nestaci v praxi mit moznost zbuildovat a ziskat obdobne funkcni vysledek?

v praxi by se mohlo stát, že koupim něco s backdoorem, ale ve zdrojácích co sem dostal není a já se mylně domnívam že sem v bezpečí

V takovem pripade je asi lepsi deployovat kod vlastnorucne kompilovany ze zdrojaku. Otazka je, jak casty problem to je a kolik z nas to musi resit.