Tập lệnh cài đặt của mọi gói đều có quyền truy cập root vào hệ thống của bạn, vì vậy hành động đơn thuần là thêm PPA hoặc cài đặt gói từ một gói là một tuyên bố tin cậy ngầm đối với chủ sở hữu PPA của bạn.
Vì vậy, điều gì xảy ra nếu lòng tin của bạn bị đặt sai chỗ và chủ sở hữu PPA muốn nghịch ngợm?
Để tải lên PPA, gói phải được ký bằng khóa GPG duy nhất cho người dùng launchpad (thực tế, chính khóa họ đã ký quy tắc ứng xử). Vì vậy, trong trường hợp PPA độc hại đã biết, chúng tôi chỉ cần cấm tài khoản và tắt PPA (các hệ thống bị ảnh hưởng vẫn sẽ bị xâm phạm, nhưng dù sao cũng không có cách nào khắc phục chúng vào thời điểm đó).
Ở một mức độ nào đó, các tính năng xã hội của Launchpad có thể được sử dụng như một biện pháp phòng ngừa người dùng xấu - ví dụ, người có lịch sử đóng góp cho Ubuntu và một số nghiệp Launchpad đã thành lập, ít có khả năng thiết lập PPA bẫy.
Hoặc nếu ai đó giành quyền kiểm soát PPA không phải là của họ thì sao?
Chà, đây là một tình huống khó khăn hơn một chút, nhưng cũng ít xảy ra hơn vì nó yêu cầu kẻ tấn công lấy cả tệp khóa riêng của người dùng launchpad (nói chung chỉ trên máy tính của họ) cũng như mã mở khóa cho nó (nói chung là mật khẩu mạnh dùng cho bất cứ thứ gì khác). Tuy nhiên, nếu điều này xảy ra, thông thường khá đơn giản để ai đó phát hiện ra tài khoản của họ đã bị xâm phạm (ví dụ Launchpad sẽ gửi email cho họ về các gói họ không tải lên) và quy trình dọn dẹp sẽ giống nhau.
Vì vậy, tóm lại, PPA là một vectơ khả dĩ cho phần mềm độc hại, nhưng có lẽ có nhiều phương pháp dễ dàng hơn cho những kẻ tấn công đến sau bạn.