Existe um processo para garantir que não haja malware? Não . Não há garantias.
Existem, no entanto, vários mecanismos para tentar detectá-lo, mas embora eu não queira ficar muito triste, se formos honestos, você provavelmente não é tão seguro quanto gostaria de ser.
Um projeto primeiro precisa ser adicionado ao Ubuntu. Como Rinzwind diz, as verificações são feitas nesta fase, mas essa é realmente apenas a ponta do iceberg que é a vida de um pacote no Ubuntu.
A primeira linha de defesa real para pacotes de longo prazo são os mantenedores do projeto. Essas pessoas cuidam de seus projetos e aceitam patches para melhorá-los. Eles são humanos. Eles cometem erros e perdem as coisas. E alguns podem ser preguiçosos.
É possível que uma pessoa má possa roubar algum malware, incluindo melhorias genuínas junto com o malware.
Se algo ruim for admitido em um projeto pelo mantenedor, salve uma auditoria bem-sucedida, as chances são de que o código acabe nas máquinas dos usuários do Ubuntu.
As auditorias de segurança são o segundo passo. Isso está examinando o código e executando-o em monitores para detectar coisas ruins. Até onde eu sei, não há uma equipe oficial da Canonical dedicada à segurança, mas existem duas equipes da comunidade (Ubuntu Security e MOTU SWAT) que lidam com todos os pacotes entre elas.
A auditoria realmente funciona se todas as linhas de código forem verificadas corretamente antes de serem enviadas aos usuários. Isso não é realmente prático para a quantidade de código e o número de atualizações sobre as quais estamos falando. Levaria uma quantidade enorme de tempo e dinheiro para fazer dessa maneira.
Há uma suposição no mundo do código aberto que apenas porque alguém pode ver a fonte, eles têm. Este é um ethos muito perigoso de manter.
As correções de segurança são amplamente reacionárias às pessoas que encontram e divulgam falhas. O que acontece se alguém revela um buraco que encontra?
Outros "usuários finais" que relatam problemas é o mecanismo final de detecção real e, para ser sincero, um bom malware não permitirá que o usuário saiba que há um problema até que seja tarde demais para fazer a diferença. Malwares bem escritos não vão virar a tela ou roubar toda a sua largura de banda, ficam no fundo, registrando todos os seus dados bancários antes de publicá-los em algum lugar anônimo.
Todo o processo depende de projetos upstream para manter seus próprios níveis de segurança. Se alguém passou por cima do mantenedor da calculadora Gnome, as chances são de que ele seja esquecido por todo mundo na fila. Uma equipe de segurança também nunca suspeitará disso.
Felizmente, a maioria dos mantenedores é boa no que faz. Eles conhecem sua base de código e, se não entenderem os patches, os rejeitarão com base em que não estão suficientemente claros.
Em termos de avaliação de risco, usando algo muito menos popular, provavelmente há menos olhos verificando o código. Mas, da mesma forma, provavelmente há menos confirmações, portanto, enquanto o mantenedor não for preguiçoso (ou mau), eles poderão ter mais tempo para lidar com cada confirmação. É difícil dizer exatamente quanto risco você tem. A segurança do software de código aberto depende de pessoas capazes olhando o código.
Por outro lado, os itens de código-fonte fechado (no parceiro e nos acordos de compra) são completamente não auditados pela comunidade. A Canonical pode ter algum acesso à fonte, mas, sinceramente, duvido que eles tenham os recursos para realizar auditorias completas, mesmo que tivessem acesso à fonte e quisessem.
Da mesma forma com os PPAs, você recebe muito pouca proteção, a menos que queira mergulhar na fonte. Os usuários podem adicionar o que quiserem ao código-fonte e, a menos que você mesmo verifique (e seja capaz de detectar malware), você é uma ovelha cercada por lobos. As pessoas podem relatar PPAs ruins, mas algo está acontecendo depende de outras pessoas verificarem e confirmarem o problema. Se um site grande (por exemplo, OMGUbuntu) recomendou um PPA (como costumam fazer), muitos usuários podem ter problemas na linha.
Para agravar o problema, a menor participação de mercado do usuário do Linux significa que há apenas menos software disponível para caçar códigos incorretos. Eu odeio dizer isso, mas pelo menos no Windows, você tem dezenas de empresas gastando todos os dias úteis, descobrindo como um software ruim funciona, como detectá-lo e como removê-lo. Esse era um mercado nascido da necessidade e, embora eu odeie dizer isso também, as coisas provavelmente vão piorar aqui antes de melhorarem.
Para os paranóicos de segurança, escrevi um pequeno artigo há pouco: o Linux não é invulnerável. Não diga que é. . A entrada de objetos no repositório provavelmente não será o principal vetor de ataque dos grupos que distribuem malware. É muito mais provável (IMO) que eles usem a ganância e a estupidez dos usuários para fazê-los instalar os .debs infectados.