问题描述
随着Linux的不断发展和发展，我们使用Linux越多，病毒威胁就越大。
我们也知道Linux中的病毒/威胁(如果有的话)在以普通用户身份运行时会有运行或传播的困难，但如果病毒/威胁以root用户身份运行则是另一回事。
这种危险的一个例子是，如果病毒藏在PPA内(有意或无意)或者应用程序有故意种植的后门(例如，pidgin可以秘密地将密码发送到特定地址)。
如果我们从Launchpad PPA添加软件，是否可以保证软件免受病毒/后门威胁？
最佳解决方法
每个软件包的安装脚本都具有对系统的root访问权限，因此仅添加PPA或从一个软件包安装软件包的行为就是对PPA所有者的隐含信任声明。
那么，如果您的信任错位并且PPA所有者想要顽皮，会发生什么？
为了上传到PPA，包必须由启动板用户独有的GPG密钥签名(实际上，他们签署了行为准则的相同密钥)。因此，在已知的恶意PPA的情况下，我们将简单地禁止帐户并关闭PPA(受影响的系统仍然会受到损害，但无论如何都没有好办法修复它们)。
在某种程度上，Launchpad的社交功能可以用作对坏用户的一些预防措施 – 例如，有一段贡献Ubuntu的历史和一些已建立的Launchpad业力，不太可能设置陷阱PPA。
或者如果某人获得了不属于他们的PPA的控制权呢？
嗯，这对威胁情况来说有点困难，但也不太可能，因为它需要攻击者获取启动板用户的私钥文件(通常只在他们的计算机上)以及它的解锁代码(通常是强密码而不是用于其他任何事情)。但是，如果发生这种情况，通常很容易让某人弄明白他们的帐户遭到入侵(例如，Launchpad会向他们发送有关他们未上传的软件包的电子邮件)，清理程序也是一样的。
因此，总之，PPA可能是恶意软件的载体，但攻击者可能会有更容易的方法来追踪您。
次佳解决方法
为PPA建立(可能是分布式的)信任评级机制已经在USC路线图上进行了一段时间，但尚未实施。
第三种解决方法
从来没有任何保证，但在社区支持的环境中，我们在”belief”上茁壮成长。我已经为我的消息来源添加了至少20个PPA，直到现在才遇到问题。如果，无论如何，正如你所提到的，PPA会在我的系统上植入威胁/病毒/后门，我会以某种方式了解它，社区的礼貌并简单地删除它。顺便说一句，在添加PPA之前，我总是检查其中列出了哪些包。
PS：Pidgin永远不会将用户名和密码发送到服务器(永远不会发送给第三方！)”secretly”。一切都是在用户同意的情况下完成的。为了让您无缝连接，Pidgin每次将登录凭据发送到服务器时都无法ping您。一旦您提供了详细信息，预计您已授权它这样做。在给Pidgin调用”backdoor”之前，我宁愿三思而后行。 🙂