Apakah ada proses untuk memastikan tidak ada malware? Tidak. Tidak ada jaminan sama sekali.
Namun, ada beberapa mekanisme untuk mencoba dan mendeteksinya, tetapi sementara saya tidak ingin terlalu buruk, jika kita jujur, Anda mungkin tidak seaman yang Anda inginkan.
Proyek pertama harus ditambahkan ke Ubuntu. Seperti yang dikatakan Rinzwind, pemeriksaan dilakukan pada tahap ini, tetapi itu hanyalah puncak gunung es yang merupakan umur paket di Ubuntu.
Garis pertahanan nyata pertama untuk paket jangka panjang adalah pengelola proyek mereka. Orang-orang ini menjaga proyek mereka dan menerima tambalan untuk memperbaikinya. Mereka adalah manusia. Mereka membuat kesalahan dan kehilangan banyak hal. Dan beberapa mungkin malas.
Ada kemungkinan bahwa orang jahat dapat menyelinap beberapa malware melewatinya dengan memasukkan perbaikan asli bersama dengan malware tersebut.
Jika sesuatu yang buruk dimasukkan ke dalam proyek oleh pengelolanya, simpan audit yang berhasil, kemungkinan kode itu akan berakhir di mesin pengguna Ubuntu.
Audit keamanan adalah langkah kedua. Ini sedang memeriksa kode dan menjalankannya melawan monitor untuk mendeteksi hal-hal buruk. Sejauh yang saya tahu, tidak ada tim Canonical resmi yang didedikasikan untuk keamanan tetapi ada dua tim komunitas (Ubuntu Security dan MOTU SWAT) yang menangani semua paket di antara mereka.
Audit hanya benar-benar berfungsi jika setiap baris kode diperiksa dengan benar sebelum keluar ke pengguna. Ini tidak terlalu praktis untuk jumlah kode dan jumlah pembaruan yang sedang kita bicarakan. Dibutuhkan banyak waktu dan uang untuk melakukannya dengan cara ini.
Ada asumsi di dunia open source bahwa hanya karena seseorang dapat melihat sumbernya, mereka memilikinya. Ini adalah etos yang sangat berbahaya untuk dipertahankan.
Perbaikan keamanan sebagian besar bersifat reaksioner terhadap orang yang menemukan dan mengungkapkan lubang. Apa yang terjadi jika seseorang membuka lubang yang mereka temukan?
Masalah pelaporan "pengguna akhir" lainnya adalah mekanisme pendeteksian akhir yang sebenarnya dan mari kita jujur, malware yang baik tidak akan membiarkan pengguna tahu ada masalah sampai terlambat untuk membuat perbedaan. Malware yang ditulis dengan baik tidak akan membalik layar Anda atau mencuri semua bandwidth Anda, itu akan duduk di sana di latar belakang, mencatat semua detail perbankan Anda sebelum mempostingnya semua ke tempat pembuangan anonim di suatu tempat.
Seluruh proses tergantung pada proyek-proyek hulu untuk mempertahankan tingkat keamanan mereka sendiri. Jika seseorang menyelipkan sesuatu melewati pengelola kalkulator Gnome, kemungkinan itu akan terlewatkan oleh orang lain di telepon. Tim keamanan tidak akan pernah curiga.
Untungnya, sebagian besar pemelihara bagus dalam hal apa yang mereka lakukan. Mereka tahu basis kode mereka dan jika mereka tidak memahami tambalan, mereka akan menolaknya atas dasar bahwa mereka tidak cukup jelas.
Dalam hal penilaian risiko, dengan menggunakan sesuatu yang jauh kurang populer, ada kemungkinan lebih sedikit mata yang memeriksa kode. Namun demikian, kemungkinan ada lebih sedikit komitmen, sehingga selama pengelola tidak malas (atau jahat), mereka mungkin memiliki lebih banyak waktu untuk berurusan dengan setiap komitmen. Sulit untuk mengatakan dengan tepat seberapa besar risiko yang Anda hadapi. Keamanan perangkat lunak sumber terbuka bergantung pada orang yang mampu melihat kode.
Sebaliknya, item sumber tertutup (dalam mitra dan repo pembelian) sepenuhnya tidak diaudit oleh komunitas. Canonical mungkin memiliki beberapa akses sumber, tetapi terus terang saya ragu mereka memiliki sumber daya untuk memberikan hal-hal audit yang menyeluruh bahkan jika mereka memiliki akses sumber dan ingin.
Demikian pula dengan PPA, Anda mendapatkan perlindungan yang sangat sedikit kecuali jika Anda ingin menyelami sumbernya sendiri. Pengguna dapat menambahkan apa pun yang mereka suka ke kode sumber dan kecuali Anda akan memeriksanya sendiri (dan Anda mampu mendeteksi malware), Anda adalah domba yang dikelilingi oleh serigala. Orang-orang dapat melaporkan PPA yang buruk tetapi sesuatu terjadi tergantung pada orang lain yang memeriksa dan mengkonfirmasi masalah tersebut. Jika situs besar (mis. OMGUbuntu) merekomendasikan PPA (seperti yang sering mereka lakukan), banyak pengguna mungkin memiliki masalah di telepon.
Untuk memperparah masalah, pangsa pasar yang lebih rendah dari pengguna Linux berarti hanya ada sedikit perangkat lunak yang tersedia untuk kita memburu kode buruk. Saya benci mengatakannya, tetapi setidaknya dengan Windows, Anda memiliki lusinan perusahaan yang menghabiskan setiap hari kerja, mencari tahu seberapa buruk perangkat lunak bekerja, cara mendeteksi dan cara menghapusnya. Itu adalah pasar yang lahir dari kebutuhan dan sementara saya benci mengatakan ini juga, hal-hal mungkin akan menjadi lebih buruk di sini sebelum mereka menjadi lebih baik.
Untuk paranoid keamanan, saya menulis artikel singkat beberapa waktu yang lalu: Linux tidak kebal. Jangan katakan itu. . Menyelinap hal-hal ke dalam repositori mungkin tidak akan menjadi vektor serangan utama untuk para pembunuh yang mendistribusikan malware. Ini jauh lebih mungkin (IMO) bahwa mereka akan bermain pada keserakahan dan kebodohan pengguna untuk membuat mereka menginstal. Deb yang terinfeksi.