Existe alguma garantia de que o software dos PPAs do Launchpad esteja livre de vírus e ameaças de backdoor?

À medida que o Linux continua a crescer e se desenvolver, e quanto mais usamos o Linux, maior a ameaça de vírus.

Também sabemos que um vírus / ameaça no Linux (se houver) teria dificuldade em executar ou se espalhar quando estiver sendo executado como usuário normal, mas é uma história diferente se o vírus / ameaça estiver sendo executado como usuário raiz.

Um exemplo desse perigo seria se um vírus estivesse escondido dentro de um PPA (intencionalmente ou não) ou se um aplicativo tivesse uma backdoor intencionalmente plantada (por exemplo, o pidgin poderia secretamente enviar senhas para um endereço específico).

Se adicionarmos software de um PPA do Launchpad, há alguma garantia de que o software esteja livre de ameaças de vírus / backdoor?

O script de instalação de cada pacote tem acesso root ao seu sistema; portanto, o simples ato de adicionar um PPA ou instalar um pacote a partir de um é uma declaração implícita de confiança de sua parte do proprietário do PPA.

Então, o que acontece se sua confiança for extraviada e o proprietário de um PPA quiser ser malcriado?

Para fazer upload para um PPA, um pacote deve ser assinado por uma chave GPG exclusiva para o usuário da barra de ativação (na verdade, a mesma chave com a qual eles assinaram o código de conduta). Portanto, no caso de um PPA mal-intencionado conhecido, simplesmente baniríamos a conta e encerraríamos o PPA (os sistemas afetados ainda estariam comprometidos, mas não há uma boa maneira de corrigi-los nesse momento).

Até certo ponto, os recursos sociais do Launchpad podem ser usados ​​como uma medida preventiva de usuários ruins - alguém que tem um histórico de contribuição para o Ubuntu e algum karma estabelecido do Launchpad, por exemplo, tem menos chances de criar um PPA armadilha.

Ou, se alguém obtiver o controle de um PPA que não é deles?

Bem, esse é um cenário um pouco mais difícil, mas também menos provável, pois exige que um invasor obtenha o arquivo de chave privada dos usuários da barra de ativação (geralmente apenas em seu computador), bem como o código de desbloqueio (geralmente uma senha forte não usado para qualquer outra coisa). Se isso acontecer, no entanto, geralmente é bastante simples alguém descobrir que sua conta foi comprometida (o Launchpad, por exemplo, enviará um e-mail sobre os pacotes que não estão carregando), e o procedimento de limpeza será o mesmo.

Portanto, em resumo, os PPAs são um vetor possível para software malicioso, mas provavelmente existem métodos muito mais fáceis para os invasores perseguirem você.

O estabelecimento de um mecanismo (talvez distribuído) de classificações de confiança para PPAs está no roteiro da USC há algum tempo, mas ainda não foi implementado.

Nunca há garantia, mas em um ambiente apoiado pela comunidade, prosperamos com a "crença". Adicionei pelo menos 20 PPAs às minhas fontes e nunca tive um problema até agora. Se, por acaso e como você mencionou, uma ameaça / vírus / backdoor for plantada no meu sistema por um PPA, eu soubesse de alguma forma, cortesia da comunidade e simplesmente removê-la. E, BTW, antes de adicionar um PPA, eu sempre verifico quais pacotes estão listados nele.

PS : O Pidgin nunca envia nomes de usuário e senhas para os servidores (e nunca para terceiros!) "Secretamente". Tudo é feito com o consentimento do usuário. Para manter você conectado sem problemas, o Pidgin não pode executar ping sempre que enviar as credenciais de login para os servidores. Espera-se que você o tenha autorizado a fazê-lo, depois de fornecer os detalhes. Prefiro pensar duas vezes antes de chamar o Pidgin de "backdoor". :)