Tất cả các kho lưu trữ chính thức của Ubuntu (bao gồm mọi thứ bạn có thể tìm thấy trên archive.ubuntu.comhoặc các gương của nó, cũng như một số kho khác) đều hoàn toàn được quản lý. Điều này có nghĩa main, restricted, universe, multiverse, cũng như -updatesvà -security. Tất cả các gói trong đó đều đến từ Debian (và do đó đã được Nhà phát triển Debian tải lên) hoặc đã được nhà phát triển Ubuntu tải lên; trong cả hai trường hợp, gói được tải lên được xác thực bằng chữ ký gpg của người tải lên.
Do đó, bạn có thể tin tưởng rằng mọi gói trong kho lưu trữ chính thức đã được nhà phát triển Debian hoặc Ubuntu tải lên. Hơn nữa, các gói bạn tải xuống có thể được xác nhận bằng chữ ký gpg trên các tệp trong kho lưu trữ, vì vậy bạn có thể tin tưởng rằng mỗi gói bạn tải xuống đã được xây dựng trên trang trại xây dựng Ubuntu từ nguồn được nhà phát triển Ubuntu hoặc Debian tải lên¹.
Điều này khiến phần mềm độc hại hoàn toàn không thể xảy ra - ai đó ở vị trí tin cậy sẽ cần phải tải nó lên và việc tải lên sẽ dễ dàng truy tìm được đối với họ.
Điều này để lại câu hỏi về sự bất chính lén lút hơn. Các nhà phát triển ngược dòng có thể đưa backtime vào phần mềm hữu ích khác và những phần mềm này có thể đưa nó vào kho lưu trữ - trong universehoặc multiverse, tùy thuộc vào giấy phép. Mọi người chạy kiểm tra bảo mật của kho lưu trữ Debian, vì vậy nếu phần mềm này trở nên phổ biến thì có khả năng cửa hậu sẽ bị phát hiện.
Các gói trong maincó một số kiểm tra bổ sung và nhận được nhiều tình yêu hơn từ nhóm bảo mật Ubuntu.
PPA gần như không có điều này. Bảo đảm bạn nhận được từ PPA là các gói bạn tải xuống được xây dựng trên cơ sở hạ tầng xây dựng Ubuntu và được ai đó có quyền truy cập vào một trong các khóa GPG của tài khoản Launchpad của người tải lên được liệt kê. Không có gì đảm bảo rằng người tải lên là người mà họ nói họ là ai - bất kỳ ai cũng có thể tạo ra một Google Chrome PPA kèm theo. Bạn cần xác định niềm tin theo một số cách khác cho PPA.
: Chuỗi tin cậy này có thể bị phá vỡ do sự xâm nhập sâu rộng vào cơ sở hạ tầng Ubuntu, nhưng điều đó đúng với bất kỳ hệ thống nào. Sự thỏa hiệp của khóa gpg của nhà phát triển cũng sẽ cho phép mũ đen tải các gói lên kho lưu trữ, nhưng vì việc lưu trữ gửi email cho người tải lên của mỗi gói nên điều này sẽ được chú ý nhanh chóng.