Có một quy trình để đảm bảo không có phần mềm độc hại? Số Có gì đảm bảo cả.
Tuy nhiên, có một số cơ chế để thử và phát hiện ra nó nhưng trong khi tôi không muốn quá buồn và ảm đạm, nếu chúng ta thành thật, có lẽ bạn không an toàn như bạn muốn.
Một dự án trước tiên phải được thêm vào Ubuntu. Như Rinzwind nói, kiểm tra được thực hiện ở giai đoạn này nhưng đó thực sự chỉ là phần nổi của tảng băng trôi đó là vòng đời của một gói trong Ubuntu.
Tuyến phòng thủ thực sự đầu tiên cho các gói dài hạn là những người duy trì dự án của họ. Những người này chăm sóc các dự án của họ và chấp nhận các bản vá để cải thiện chúng. Họ là con người. Họ mắc sai lầm và bỏ lỡ mọi thứ. Và một số có thể lười biếng.
Có thể một người xấu có thể lén lút một số phần mềm độc hại qua chúng bằng cách bao gồm các cải tiến thực sự cùng với phần mềm độc hại.
Nếu một cái gì đó xấu được chấp nhận vào một dự án bởi người bảo trì của nó, hãy lưu một cuộc kiểm toán thành công, rất có thể mã đó sẽ kết thúc trên máy của người dùng Ubuntu.
Kiểm toán an ninh là bước thứ hai. Điều này đang kiểm tra mã và chạy nó với màn hình để phát hiện những điều xấu. Theo tôi biết, không có một nhóm Canonical chính thức dành riêng cho bảo mật nhưng có hai nhóm cộng đồng (Ubuntu Security và MOTU SWAT) xử lý tất cả các gói giữa chúng.
Kiểm toán chỉ thực sự hoạt động nếu mọi dòng mã được kiểm tra đúng trước khi đưa ra cho người dùng. Điều này không thực sự thiết thực đối với số lượng mã và số lượng cập nhật mà chúng ta đang nói đến. Sẽ mất một lượng lớn thời gian và tiền bạc để làm theo cách này.
Có một giả định trong thế giới nguồn mở rằng chỉ vì ai đó có thể xem nguồn, họ có. Đây là một ethos rất nguy hiểm để duy trì.
Sửa lỗi bảo mật phần lớn là phản động đối với những người tìm và tiết lộ lỗ hổng. Điều gì xảy ra nếu ai đó tiết lộ một lỗ hổng mà họ tìm thấy?
Các vấn đề báo cáo "người dùng cuối" khác là cơ chế phát hiện thực cuối cùng và hãy trung thực, phần mềm độc hại tốt sẽ không cho người dùng biết có vấn đề cho đến khi quá muộn để tạo ra sự khác biệt. Phần mềm độc hại được viết tốt sẽ không lật màn hình hoặc đánh cắp tất cả băng thông của bạn, nó sẽ ngồi ở đó trong nền, ghi lại tất cả các chi tiết ngân hàng của bạn trước khi gửi tất cả chúng vào một bãi rác ẩn danh nào đó.
Toàn bộ quá trình phụ thuộc vào các dự án thượng nguồn để duy trì mức độ bảo mật của riêng họ. Nếu ai đó trượt thứ gì đó qua bộ bảo trì của máy tính Gnome, rất có thể nó sẽ bị mọi người khác bỏ qua. Một đội an ninh cũng sẽ không bao giờ nghi ngờ điều đó.
Rất may hầu hết những người bảo trì đều giỏi trong những gì họ làm. Họ biết cơ sở mã của họ và nếu họ không hiểu các bản vá, họ sẽ từ chối chúng trên cơ sở rằng chúng không đủ rõ ràng.
Về mặt đánh giá rủi ro, bằng cách sử dụng một cái gì đó ít phổ biến hơn, có khả năng ít mắt kiểm tra mã hơn. Nhưng tương tự như vậy có lẽ có ít cam kết hơn, miễn là người bảo trì không lười biếng (hoặc xấu xa), họ có thể có nhiều thời gian hơn để xử lý mỗi cam kết. Thật khó để nói chính xác mức độ rủi ro của bạn. Bảo mật của phần mềm nguồn mở phụ thuộc vào những người có khả năng nhìn vào mã.
Ngược lại, các mục nguồn đóng (trong đối tác và repos mua hàng) hoàn toàn không được cộng đồng kiểm tra. Canonical có thể có một số quyền truy cập nguồn, nhưng thật lòng tôi nghi ngờ họ có tài nguyên để cung cấp cho mọi thứ kiểm toán kỹ lưỡng ngay cả khi họ có quyền truy cập nguồn và muốn.
Tương tự như vậy với PPA, bạn nhận được rất ít sự bảo vệ trừ khi bạn muốn tự mình đi sâu vào nguồn. Người dùng có thể thêm bất cứ thứ gì họ thích vào mã nguồn và trừ khi bạn tự kiểm tra nó (và bạn có khả năng phát hiện phần mềm độc hại), bạn là một con cừu bị sói bao vây. Mọi người có thể báo cáo PPA xấu nhưng điều gì đó xảy ra phụ thuộc vào người khác kiểm tra và xác nhận vấn đề. Nếu một trang web lớn (ví dụ OMGUbfox) đề xuất PPA (như họ thường làm), rất nhiều người dùng có thể gặp sự cố.
Để giải quyết vấn đề, thị phần thấp hơn của người dùng Linux có nghĩa là chỉ có ít phần mềm có sẵn để chúng tôi săn lùng mã xấu. Tôi ghét phải nói điều đó nhưng ít nhất là với Windows, bạn có hàng tá công ty chi tiêu mỗi ngày làm việc, tìm hiểu xem phần mềm hoạt động tồi tệ như thế nào, làm thế nào để phát hiện ra nó và làm thế nào để loại bỏ nó. Đó là một thị trường sinh ra từ sự cần thiết và trong khi tôi ghét phải nói điều này quá, mọi thứ có lẽ sẽ trở nên tồi tệ hơn ở đây trước khi chúng trở nên tốt hơn.
Đối với sự hoang tưởng bảo mật, tôi đã viết một bài viết ngắn cách đây một thời gian: Linux không thể xâm phạm. Đừng nói là như vậy. . Lén lút mọi thứ vào kho lưu trữ có lẽ sẽ không phải là vectơ tấn công chính cho những kẻ lừa đảo phát tán phần mềm độc hại. Nhiều khả năng (IMO) rằng họ sẽ chơi trên sự tham lam và ngu ngốc của người dùng để khiến họ cài đặt các .deb bị nhiễm.