Esiste un processo per garantire l'assenza di malware? No. Non ci sono garanzie.
Esistono, tuttavia, diversi meccanismi per provare a rilevarlo, ma anche se non voglio diventare troppo cupo, se siamo onesti, probabilmente non sei sicuro come vorresti essere.
Un progetto deve prima essere aggiunto a Ubuntu. Come dice Rinzwind, i controlli vengono effettuati in questa fase, ma in realtà è solo la punta dell'iceberg che è la vita di un pacchetto in Ubuntu.
La prima vera linea di difesa per i pacchetti a lungo termine sono i manutentori del progetto. Queste persone si occupano dei loro progetti e accettano patch per migliorarli. Sono umani. Commettono errori e mancano le cose. E alcuni potrebbero essere pigri.
È possibile che una persona cattiva possa sorvegliare un po 'di malware, includendo autentici miglioramenti insieme al malware.
Se qualcosa di brutto viene ammesso in un progetto dal suo manutentore, salva un controllo riuscito, è probabile che il codice finisca sui computer degli utenti Ubuntu.
I controlli di sicurezza sono il secondo passo. Questo sta esaminando il codice ed eseguendolo contro i monitor per rilevare cose cattive. Per quanto ne so, non esiste un team canonico ufficiale dedicato alla sicurezza, ma ci sono due team di comunità (Ubuntu Security e MOTU SWAT) che gestiscono tutti i pacchetti tra di loro.
Il controllo funziona davvero solo se ogni riga di codice viene controllata correttamente prima di essere distribuita agli utenti. Questo non è davvero pratico per la quantità di codice e il numero di aggiornamenti di cui stiamo parlando. Ci vorrebbe un sacco di tempo e denaro per farlo in questo modo.
C'è un'ipotesi nel mondo open source che solo perché qualcuno può vedere la fonte, hanno. Questo è un ethos molto pericoloso da mantenere.
Le correzioni di sicurezza sono in gran parte reazionarie alla ricerca e alla divulgazione di buchi da parte delle persone. Cosa succede se qualcuno rivela un buco che trova?
Altri problemi di segnalazione degli "utenti finali" sono il vero meccanismo finale di rilevazione e siamo onesti, un buon malware non farà sapere all'utente che c'è un problema fino a quando è troppo tardi per fare la differenza. Un malware ben scritto non capovolge lo schermo o ruba tutta la larghezza di banda, siederà lì in background, registrando tutti i dettagli bancari prima di inviarli in una discarica anonima da qualche parte.
L'intero processo dipende da progetti a monte per mantenere i propri livelli di sicurezza. Se qualcuno ha fatto scivolare qualcosa oltre il manutentore del calcolatore di Gnome, è probabile che mancherà a tutti gli altri. Un team di sicurezza non sospetterà mai neanche questo.
Per fortuna, molti manutentori sono bravi in quello che fanno. Conoscono la loro base di codice e se non capiscono le patch, li respingeranno sulla base del fatto che non sono abbastanza chiari.
In termini di valutazione del rischio, usando qualcosa che è molto meno popolare, ci sono probabilmente meno occhi che controllano il codice. Allo stesso modo, ci sono probabilmente meno commit, quindi finché il manutentore non è pigro (o malvagio), potrebbe avere più tempo per gestire ogni commit. È difficile dire esattamente a che rischio sei. La sicurezza del software open source dipende da persone capaci che osservano il codice.
Al contrario, gli articoli di origine chiusa (nei partner e nei repository degli acquisti) sono completamente non certificati dalla community. Canonical può avere un po 'di accesso alla fonte, ma francamente dubito che abbiano le risorse per fare audit approfonditi anche se avevano accesso alla fonte e volevano.
Allo stesso modo con i PPA, ottieni pochissima protezione a meno che tu non voglia immergerti nella fonte da solo. Gli utenti possono aggiungere ciò che vogliono al codice sorgente e, a meno che tu non lo controlli (e non sei in grado di rilevare malware), sei una pecora circondata da lupi. Le persone possono segnalare cattivi PPA ma qualcosa accade dipende dal fatto che altre persone controllino e confermino il problema. Se un grande sito (ad esempio OMGUbuntu) raccomandava un PPA (come spesso accade), molti utenti potrebbero avere problemi in linea.
Per aggravare il problema, la minore quota di mercato degli utenti Linux significa che c'è solo meno software disponibile per noi a caccia di codici errati. Odio dirlo, ma almeno con Windows, hai dozzine di aziende che trascorrono ogni giorno lavorativo, scoprendo come funziona il software cattivo, come rilevarlo e come rimuoverlo. Era un mercato nato dalla necessità e anche se odio dirlo, le cose probabilmente peggioreranno qui prima di migliorare.
Per i paranoici della sicurezza, qualche tempo fa ho scritto un breve articolo: Linux non è invulnerabile. Non dirlo. . Intrufolarsi nel repository probabilmente non sarà il vettore di attacco principale per gli asshat che distribuiscono malware. È molto più probabile (IMO) che giochino l'avidità e la stupidità degli utenti per far loro installare .debs infetti.