Есть ли процесс, чтобы убедиться, что нет вредоносных программ? Нет . Там нет никаких гарантий на всех.
Есть, однако, несколько механизмов, чтобы попытаться обнаружить его, но, хотя я не хочу становиться слишком мрачным, если честно, вы, вероятно, не так безопасны, как хотелось бы.
Сначала проект должен быть добавлен в Ubuntu. Как говорит Ринзвинд, проверки выполняются на этом этапе, но на самом деле это лишь верхушка айсберга, которым является жизнь пакета в Ubuntu.
Первая настоящая линия защиты для долгосрочных пакетов - это сопровождающие их проекты. Эти люди заботятся о своих проектах и принимают исправления для их улучшения. Они люди. Они делают ошибки и упускают вещи. А некоторые могут быть ленивыми.
Вполне возможно, что злоумышленник может проникнуть через некоторое вредоносное ПО, включая подлинные улучшения вместе с вредоносным ПО.
Если сопровождающий допустит в проект что-то плохое, сохраните успешный аудит, и есть вероятность, что код окажется на компьютерах пользователей Ubuntu.
Аудит безопасности - это второй шаг. Это проверка кода и запуск его на мониторах для обнаружения плохих вещей. Насколько я знаю, нет официальной команды Canonical, занимающейся вопросами безопасности, но есть две группы сообщества (Ubuntu Security и MOTU SWAT), которые обрабатывают все пакеты между ними.
Аудит действительно работает, только если каждая строка кода проверена должным образом, прежде чем она будет отправлена пользователям. Это не очень практично для количества кода и количества обновлений, о которых мы говорим. Это заняло бы огромное количество времени и денег.
В мире открытого исходного кода есть предположение, что только потому, что кто-то может просмотреть источник, он имеет это. Это очень опасный принцип для поддержания.
Исправления безопасности в основном реагируют на то, что люди находят и обнаруживают дыры. Что произойдет, если кто-то обнаружит найденную дыру?
Другие проблемы с сообщениями «конечных пользователей» - это последний механизм реального обнаружения, и давайте будем честными, хорошие вредоносные программы не дадут пользователю понять, что есть проблема, пока не станет слишком поздно, чтобы что-то изменить. Хорошо написанное вредоносное ПО не собирается перевернуть ваш экран или украсть всю вашу пропускную способность, оно будет находиться в фоновом режиме, регистрируя все ваши банковские реквизиты, прежде чем отправлять их все в какой-нибудь анонимный дамп.
Весь процесс зависит от исходных проектов для поддержания их собственных уровней безопасности. Если кто-то проскользнул мимо сопровождающего калькулятора Gnome, есть вероятность, что все остальные пропустят его. Команда безопасности тоже никогда не заподозрит.
К счастью, большинство сопровождающих хороши в том, что они делают. Они знают свою кодовую базу, и если они не понимают патчи, они отклонят их на том основании, что они недостаточно ясны.
С точки зрения оценки риска, используя что-то менее популярное, вы, вероятно, будете меньше проверять код. Но аналогичным образом, вероятно, меньше коммитов, поэтому, если сопровождающий не ленив (или злой), у него может быть больше времени для работы с каждым коммитом. Трудно точно сказать, насколько вы рискуете. Безопасность программного обеспечения с открытым исходным кодом зависит от способных людей, смотрящих на код.
И наоборот, закрытые исходные материалы (в репозитории для партнеров и покупок) полностью не проверяются сообществом. У Canonical может быть некоторый доступ к источникам, но, честно говоря, я сомневаюсь, что у них есть ресурсы для тщательного аудита, даже если у них был доступ к источникам и он хотел этого.
Точно так же с PPA вы получаете очень мало защиты, если вы не хотите погрузиться в источник самостоятельно. Пользователи могут добавлять в исходный код все, что им нравится, и, если вы сами не захотите проверить его (и вы способны обнаружить вредоносное ПО), вы - овца, окруженная волками. Люди могут сообщать о плохих PPA, но что-то происходит, зависит от других людей, проверяющих и подтверждающих проблему. Если большой сайт (например, OMGUbuntu) рекомендует PPA (как они часто делают), у многих пользователей могут возникнуть проблемы в будущем.
Чтобы усугубить проблему, более низкая рыночная доля пользователей Linux означает, что для нас просто меньше программного обеспечения, доступного для поиска плохого кода. Мне неприятно это говорить, но, по крайней мере, с Windows, десятки компаний проводят каждый рабочий день, выясняя, как работает плохое программное обеспечение, как его обнаружить и как его удалить. Это был рынок, возникший из-за необходимости, и, хотя мне неприятно это говорить, здесь, вероятно, все будет ухудшаться, прежде чем станет лучше.
Что касается параноиков безопасности, я недавно написал небольшую статью: Linux не уязвим. Не говори, что это так. , Проникновение вещей в репозиторий, вероятно, не будет основным вектором атаки для атак, распространяющих вредоносные программы. Гораздо более вероятно (IMO), что они будут играть на жадности и глупости пользователей, чтобы заставить их устанавливать зараженные .debs.