Kötü amaçlı yazılım olmadığından emin olmak için bir işlem var mı? Hayır . Hiçbir garantisi yoktur.
Bununla birlikte, denemek ve saptamak için birkaç mekanizma var, ancak fazla mahkum ve hüzünlü olmak istemem de, eğer dürüst olursak, muhtemelen olmak istediğin kadar güvenli değilsindir.
Bir proje önce Ubuntu'ya eklenmeli. Rinzwind'in dediği gibi, bu aşamada kontroller yapılır, ancak bu gerçekten Ubuntu'daki bir paketin ömrü olan buzdağının sadece görünen kısmıdır.
Uzun vadeli paketler için ilk gerçek savunma hattı proje sahipleridir. Bu insanlar projelerine bakar ve onları geliştirmek için yamaları kabul eder. Onlar insan. Hata yaparlar ve şeyleri özlerler. Ve bazıları tembel olabilir.
Kötü niyetli bir kişinin, kötü amaçlı yazılımın yanı sıra orijinal geliştirmeleri de dahil ederek bazı kötü amaçlı yazılımları gizlice sokması mümkündür.
Bir proje sahibi tarafından kötü bir şey kabul edilirse, başarılı bir denetimden tasarruf edin, şansınız Ubuntu kullanıcılarının makinelerinde kodun bitmesidir.
Güvenlik denetimleri ikinci adımdır. Bu kod inceleyerek ve kötü şeyleri tespit etmek için monitörlere karşı çalıştırıyor. Bildiğim kadarıyla, güvenliğe adanmış resmi bir Canonical ekibi yoktur, ancak aralarındaki tüm paketleri idare eden iki topluluk ekibi (Ubuntu Güvenliği ve MOTU SWAT) vardır.
Denetleme, yalnızca kullanıcılara gitmeden önce her kod satırı doğru şekilde kontrol edildiğinde gerçekten işe yarar. Bu, bahsettiğimiz kod miktarı ve güncelleme sayısı için gerçekten pratik değildir. Bu şekilde yapmak çok fazla zaman ve para gerektiriyor.
Biri sırf açık kaynak dünyasında bir varsayım vardır edebilir kaynağını görüntülemek, onlar var. Bu sürdürülmesi çok tehlikeli bir ahlakidir.
Güvenlik düzeltmeleri, delikleri bulan ve ifşa eden insanlara büyük ölçüde tepki gösterir. Biri buldukları bir delik açarsa ne olur?
Diğer "son kullanıcılar" raporlama sorunları son gerçek saptama mekanizmasıdır ve dürüst olalım, iyi kötü amaçlı yazılımlar, bir fark yaratmak için çok geç olana kadar bir sorun olduğunu bilmez. İyi yazılmış kötü amaçlı yazılımlar ekranınızı çevirmeyecek veya tüm bant genişliğinizi çalmayacak, arka planda oturacak, bir yere isimsiz bir dökümü atmadan önce tüm bankacılık ayrıntılarınızı kaydedecektir.
Tüm süreç, kendi güvenlik seviyelerini korumak için yukarı akıştaki projelere dayanır. Birisi Gnome hesap makinesinin sağlayıcısının yanından bir şey geçirmişse, şansını çizgideki herkes tarafından kaçırması muhtemeldir. Bir güvenlik ekibi de bundan şüphelenmeyecek.
Neyse ki çoğu bakıcı ne yaptığını iyi. Kod tabanlarını biliyorlar ve yamaları anlamazlarsa, yeterince net olmadıklarına göre reddedecekler.
Risk değerlendirmesi açısından, daha az popüler olan bir şey kullanarak, kodu kontrol eden daha az göz vardır. Ancak benzer şekilde, muhtemelen daha az sayıda taahhüt vardır, bu nedenle, bakımveren tembel olmadıkça (veya kötü olmadıkça), her bir taahhütle baş etmek için daha fazla zamanları olabilir. Tam olarak ne kadar risk altında olduğunu söylemek zor. Açık kaynaklı yazılımın güvenliği, koda bakacak yetenekli kişilere bağlıdır.
Buna karşılık, kapalı kaynak kalemler (ortak ve satın alma depolarındaki) topluluk tarafından tamamen denetlenmez. Kanonik bazı kaynak erişimine sahip olabilir, ama açıkçası, kaynak erişimi olsa ve istese bile, işleri kapsamlı denetimler yapacak kaynaklara sahip olduklarından şüpheliyim.
PPA'larda olduğu gibi, kaynağa kendiniz dalmak istemediğiniz sürece çok az koruma elde edersiniz. Kullanıcılar kaynak koduna ne isterlerse ekleyebilirler ve kendiniz (ve kötü amaçlı yazılımları tespit edebileceksiniz) kontrol edemediğiniz sürece kurtlarla çevrili bir koyunsunuzdur. İnsanlar kötü KA'ları bildirebilir, ancak olan bitenler sorunu kontrol eden ve onaylayan diğer insanlara bağlıdır. Büyük bir site (örneğin, OMGUbuntu) bir PPA (çoğu zaman yaptıkları gibi) önerdi ise, birçok kullanıcı bu konuda sorun yaşayabilir.
Sorunu daha da arttırmak için Linux kullanıcısının daha düşük pazar payı, kötü kodları bulabilmemiz için daha az yazılım bulunduğunu gösterir. Söylemekten nefret ediyorum ama en azından Windows ile her iş günü harcayan, yazılımın ne kadar kötü çalıştığını, nasıl tespit edilip nasıl kaldırılacağına karar veren onlarca şirketiniz var. Bu, zorunluluktan doğan bir pazardı ve bunu söylemekten nefret ediyorum da, daha iyi hale gelmeden önce muhtemelen işler daha da kötüye gidecek.
Güvenlik paranoyakları için, bir süre önce kısa bir yazı yazdım: Linux yenilmez değildir. Öyle deme. . Depoya bir şeyler gizlice sokmak muhtemelen kötü amaçlı yazılım dağıtan asshats için birincil saldırı vektörü olmayacak. Virüslü .debs kurmaları için kullanıcıların açgözlülüğü ve aptallığı üzerinde oynamaları çok daha muhtemeldir (IMO).