¿Existe un proceso para garantizar que no haya malware? No. No hay garantías en absoluto.
Sin embargo, existen varios mecanismos para intentar detectarlo, pero si bien no quiero ser demasiado pesimista, si somos honestos, probablemente no estés tan seguro como te gustaría estar.
Primero se debe agregar un proyecto a Ubuntu. Como dice Rinzwind, los controles se realizan en esta etapa, pero esa es realmente solo la punta del iceberg que es la vida de un paquete en Ubuntu.
La primera línea de defensa real para los paquetes a largo plazo son sus mantenedores de proyectos. Estas personas cuidan sus proyectos y aceptan parches para mejorarlos. Son humanos Cometen errores y extrañan cosas. Y algunos pueden ser flojos.
Es posible que una persona mala pueda pasar un poco de malware al incluir mejoras genuinas junto con el malware.
Si su mantenedor admite algo malo en un proyecto, guarde una auditoría exitosa, lo más probable es que el código termine en las máquinas de los usuarios de Ubuntu.
Las auditorías de seguridad son el segundo paso. Esto es examinar el código y ejecutarlo contra monitores para detectar cosas malas. Hasta donde sé, no hay un equipo oficial de Canonical dedicado a la seguridad, pero hay dos equipos comunitarios (Ubuntu Security y MOTU SWAT) que manejan todos los paquetes entre ellos.
La auditoría solo funciona realmente si cada línea de código se verifica correctamente antes de enviarla a los usuarios. Esto no es realmente práctico para la cantidad de código y la cantidad de actualizaciones de las que estamos hablando. Tomaría una gran cantidad de tiempo y dinero hacerlo de esta manera.
Hay una suposición en el mundo del código abierto de que solo porque alguien puede ver la fuente, lo han hecho. Este es un ethos muy peligroso de mantener.
Las soluciones de seguridad son en gran medida reaccionarias ante las personas que encuentran y revelan agujeros. ¿Qué sucede si alguien revela un agujero que encuentran?
Otros "usuarios finales" que informan problemas es el mecanismo de detección real final y seamos honestos, un buen malware no le permitirá al usuario saber que hay un problema hasta que sea demasiado tarde para hacer una diferencia. El malware bien escrito no va a voltear su pantalla o robar todo su ancho de banda, sino que se quedará allí en segundo plano, registrando todos sus datos bancarios antes de publicarlos en algún volcado anónimo en alguna parte.
Todo el proceso depende de proyectos aguas arriba para mantener sus propios niveles de seguridad. Si alguien pasó algo por encima del mantenedor de la calculadora Gnome, es probable que todos se lo pierdan en el futuro. Un equipo de seguridad nunca lo sospechará tampoco.
Afortunadamente, la mayoría de los mantenedores son buenos en lo que hacen. Conocen su base de código y si no entienden los parches, los rechazarán porque no son lo suficientemente claros.
En términos de evaluación de riesgos, al usar algo que es mucho menos popular, es probable que haya menos ojos revisando el código. Pero de manera similar, probablemente haya menos commits, por lo que siempre que el mantenedor no sea flojo (o malvado), podría tener más tiempo para lidiar con cada commit. Es difícil decir exactamente cuánto riesgo corres. La seguridad del software de código abierto depende de personas capaces que miren el código.
Por el contrario, los elementos de origen cerrado (en los repositorios de socios y compras) no son auditados por la comunidad. Canonical puede tener algún acceso a la fuente, pero francamente dudo que tengan los recursos para realizar auditorías exhaustivas incluso si tuvieran acceso a la fuente y quisieran.
De manera similar con los PPA, obtienes muy poca protección a menos que quieras sumergirte en la fuente tú mismo. Los usuarios pueden agregar lo que quieran al código fuente y, a menos que lo revisen ustedes mismos (y sean capaces de detectar malware), son una oveja rodeada de lobos. Las personas pueden informar malos PPA, pero algo sucede depende de que otras personas verifiquen y confirmen el problema. Si un sitio grande (por ejemplo, OMGUbuntu) recomienda un PPA (como lo hacen a menudo), muchos usuarios pueden tener problemas en el futuro.
Para agravar el problema, la menor cuota de mercado de los usuarios de Linux significa que hay menos software disponible para que busquemos códigos incorrectos. Odio decirlo, pero al menos con Windows, hay docenas de compañías que pasan todos los días hábiles, descubriendo cómo funciona el mal software, cómo detectarlo y cómo eliminarlo. Ese fue un mercado nacido de la necesidad y aunque odio decir esto también, las cosas probablemente empeorarán aquí antes de mejorar.
Para los paranoicos de seguridad, escribí un breve artículo hace un tiempo: Linux no es invulnerable. No digas que lo es. . Introducir cosas en el repositorio probablemente no será el principal vector de ataque para los imbéciles que distribuyen malware. Es mucho más probable (IMO) que jueguen con la avaricia y la estupidez de los usuarios para que instalen .debs infectados.