Нет конечно. Проанализировать весь код значительно менее трудозатратно, чем написать новый с таким же объемом и таким же уровнем тестирования. Более того, учитывая его опенсорсность и распространенность, такой код написан более чем качественно для "подхватывания".
Откуда дровишки? Т.е. на чём основано это мнение? В другом форуме мне тут написали, что безопасная программа в 5-10 раз дороже обычной с тем же функционалом. Т.е. проверить стоит в 4-9 раз дороже, чем написать. Моё мнение (и скорее даже знание), что проверить какую-либо настоящую (не hello, world) программу, написанную на Си, вообще невозможно (вычислительных мощностей человечества не хватит из-за комбинаторной сложности задачи).

Чтобы проверка вообще стала возможной, нужны очень серьёзные ограничения на содержимое кода, и никакая из популярных программ этому требованию не удовлетворяет. Как пример, в процессорах Эльбрус есть аппаратная защита памяти, но в реальности под него не пишут новый софт, а запускают тот отстой, который есть в Open Source. А в этом режиме данная защита сразу срабатывает. Поэтому она отключена. Переделать без серьёзной переделки (читай без переписывания) не выйдет, потому что каждый void * - это срабатывание защиты.

Какие ограничения нужно наложить - я весьма туманно представляю. Во всяком случае, ни один из известных мне статических анализаторов не может проверить программу, в которой есть циклы. Он начинает мысленно выполнять программу (символьное выполнение) делает несколько (4-5) итераций цикла и потом заканчивает, потому что если идти дальше, станет слишком большой объём вычислений. Возможно, что проприетарные анализаторы умнее, но я в этом сильно сомневаюсь.

Т.е. между сложностью задачи анализа на безопасность и возможностями человечества на данный момент - пропасть. Было бы иначе - не было бы башдора и хартблида.

Siemargl, в чём разница? Ни то, ни это не проверить.

hVostt, это такой тонкий намёк на 1С?

Siemargl, закладки нужно искать только в отдельных частях ПО, связанных с безопасностью, авторизацией и т.п., но насчёт конечности выглядит смелым высказыванием. В любом случае, башдор и хартблид являются уязвимостями и их искали слишком уж долго всем миром. Можно задаться вопросом, была ли гарантия, что их найдут, или их случайно нашли. Если их нашли случайно, то нет гарантии, что такие же харблид и башдор где-то ещё не остались. А с учётом того, что постоянно выходят новые версии ПО и оно становится всё больше и больше по объёму и количеству слоёв в бутерброде, совершенно неясно, в какую сторону меняется количество уязвимостей.

Т.е. одна из обязательных мер, которую я вижу, для создания безопасного ПО - это низкий темп изменений. Перед тем, как принимать ПО в серьёзные места, оно должно пройти хотя бы 5-летню обкатку на пользователях, которых не жалко. В случае башдора и 20 лет мало, но нужен всё же баланс между безопасностью и экономикой, уязвимости типа башдора не так часто находят. Но я не вижу, чтобы издатели той же Астры так поступали - у них довольно новое ядро сейчас (надеюсь, это не секрет).

С другой стороны, сам баш настолько раскудрявый, что я не удивлюсь, если башдор - не последняя уязвимость в нём.

Leonid Kudryavtsev, если бы вы в свободной стране такую клевету бы написали в каком-нибудь твиттере, вас бы молниеносно забанили.
Или, как минимум, к вам бы пришли юристы в пиджачках и галстучках. Или на следующей день забанили бы весь этот форум. Вы врите, но не слишком-то завирайтесь, пожалуйста. И заодно напишите, чем занимаетесь, чего достигли в жизни. А мы в вашем стиле это обсудим.