Existe-t-il un processus pour s'assurer qu'il n'y a pas de malware? Non, il n'y a aucune garantie.
Il existe cependant plusieurs mécanismes pour essayer de le détecter, mais même si je ne veux pas être trop sombre, si vous êtes honnête, vous n'êtes probablement pas aussi en sécurité que vous voudriez l'être.
Un projet doit d'abord être ajouté à Ubuntu. Comme le dit Rinzwind, les vérifications sont effectuées à ce stade, mais ce n’est en réalité que la partie visible de l’iceberg qui constitue la vie d’un paquet dans Ubuntu.
La première véritable ligne de défense pour les paquets à long terme sont leurs responsables de projet. Ces personnes gèrent leurs projets et acceptent des correctifs pour les améliorer. Ils sont humains.Ils font des erreurs et manquent des choses. Et certains pourraient être paresseux.
Il est possible qu'une personne malveillante passe au-dessus de certains logiciels malveillants en incluant de véritables améliorations avec le logiciel malveillant.
Si quelque chose de mauvais est admis dans un projet par son responsable, enregistrez un audit réussi, il est probable que le code aboutira sur les machines des utilisateurs Ubuntu.
Les audits de sécurité sont la deuxième étape. Il s’agit d’examiner le code et de l’exécuter sur des moniteurs pour détecter les mauvaises choses. Autant que je sache, il n’existe pas d’équipe officielle de Canonical dédiée à la sécurité, mais deux équipes de communauté (Ubuntu Security et MOTU SWAT) gèrent tous les packages qui les séparent.
L'audit ne fonctionne vraiment que si chaque ligne de code est vérifiée correctement avant d'être envoyée aux utilisateurs. Ce n'est pas vraiment pratique pour la quantité de code et le nombre de mises à jour dont nous parlons. Cela prendrait énormément de temps et d’argent.
Il existe une hypothèse dans le monde open source que juste parce que quelqu'un peut consulter le code source. C'est une philosophie très dangereuse à maintenir.
Les correctifs de sécurité sont en grande partie réactionnaires lorsque les utilisateurs découvrent et révèlent des failles. Qu'advient-il si quelqu'un révèle un trou, ils trouvent?
Les autres utilisateurs signalant des problèmes sont le dernier mécanisme de détection. Soyons honnêtes, un bon logiciel malveillant ne le laissera pas au courant avant qu’il ne soit trop tard pour faire la différence. Les malwares bien écrits ne vont pas retourner votre écran ou voler toute votre bande passante, ils vont rester en arrière-plan, en enregistrant toutes vos coordonnées bancaires avant de les publier quelque part dans un cliché anonyme.
L'ensemble du processus dépend des projets en amont pour maintenir leurs propres niveaux de sécurité. Si quelqu'un passe à côté du responsable de la calculatrice Gnome, il est probable que tout le monde l'aura oublié. Une équipe de sécurité ne le soupçonnera jamais non plus.
Heureusement, la plupart des mainteneurs sont bons dans ce qu'ils font. Ils connaissent leur base de code et s’ils ne comprennent pas les correctifs, ils les refusent parce qu’ils ne sont pas assez clairs.
En termes d’évaluation des risques, en utilisant quelque chose de beaucoup moins populaire, il ya probablement moins d’œil qui vérifie le code. Mais de même, il y a probablement moins de commits, aussi longtemps que le mainteneur n'est pas paresseux (ou diabolique), ils peuvent avoir plus de temps pour traiter chaque commet. Il est difficile de dire exactement combien de risques vous êtes. La sécurité des logiciels Open Source dépend de la capacité des personnes compétentes à consulter le code.
Inversement, les éléments source fermés (dans les comptes de partenaires et d’achat) ne sont complètement pas audités par la communauté. Canonical a peut-être un accès à la source, mais franchement, je doute qu'ils disposent des ressources nécessaires pour procéder à des audits approfondis, même s'ils disposaient d'un accès à la source et le souhaitaient.
De même avec les PPA, vous obtenez très peu de protection à moins de vouloir vous plonger vous-même dans la source. Les utilisateurs peuvent ajouter ce qu'ils veulent au code source et, à moins que vous ne le vérifiiez vous-même (et que vous soyez capable de détecter les logiciels malveillants), vous êtes un mouton entouré de loups. Les gens peuvent signaler de mauvais AAE, mais quelque chose se passe dépend de la vérification et de la confirmation du problème. Si un grand site (par exemple, OMGUbuntu) a recommandé un PPA (comme c'est souvent le cas), de nombreux utilisateurs risquent d'avoir des problèmes en bout de ligne.
Pour aggraver le problème, la part de marché moindre des utilisateurs de Linux signifie que nous disposons d’un peu moins de logiciels pour traquer les codes malveillants. Je déteste le dire, mais au moins avec Windows, vous avez des dizaines d’entreprises qui passent chaque jour de leur travail à découvrir comment un logiciel fonctionne, à le détecter et à le supprimer. C’était un marché né de la nécessité et, même si je déteste dire ça aussi, les choses vont probablement empirer avant de s’améliorer.
Pour les paranoïaques de la sécurité, j'ai écrit un article court il y a quelque temps: Linux n'est pas invulnérable. Ne dis pas que c'est. . Faufiler des choses dans le référentiel ne sera probablement pas le principal vecteur d’attaque pour les asshats qui distribuent des logiciels malveillants. Il est beaucoup plus probable (OMI) qu'ils vont jouer sur la cupidité et la stupidité des utilisateurs pour les amener à installer des .debs infectés.