Cette thèse mesure le problème grâce à Software Heritage, archive publique qui sauvegarde les projets au fil du temps. Comparer d’anciennes et nouvelles copies révèle ce que le site d’origine ne montre plus. La première étude trouve des millions de modifications de tags dans environ 189 000 projets ; certaines font qu’un même tag mène à un autre code. La deuxième trouve des millions de réécritures d’historiques dans plus d’un million de projets. Celles-ci comprennent des changements de licences et des retraits de fichiers dont le nom évoque des mots de passe ou des clés privées. La thèse propose aussi un nouvel outil pour détecter ces réécritures.
La troisième étude examine des copies archivées de fichiers supprimés. Environ une sur onze contient des motifs de secret, et beaucoup de clés privées apparentes ont la structure de vraies clés, non de textes factices. Cela ne montre pas si elles accordent encore un accès, mais prouve qu’effacer un secret de l’historique visible ne supprime pas toutes ses copies.
La thèse propose de lier les logiciels à une copie exacte vérifiable plutôt qu’à un nom pratique pour répondre à une partie de ces problèmes. Des archives indépendantes devraient conserver les preuves des changements, et des outils alerter lorsque noms ou historiques de confiance subissent des modifications. Une clé divulguée doit aussi être annulée par le service qui l’accepte, pas seulement effacée du dépôt. Toute modification n’est pas nécessairement dangereuse, mais la confiance doit reposer sur des preuves qui survivent aux dernières modifications.