进行了哪些测试以确保存储库中的任何软件包都没有恶意软件？

Question

如何确保受信任的用户无法编译带有恶意软件的包并将其放置在 Universe 存储库中。

Answer 1

注意：Ubuntu 安全团队的一名成员在此答案中对此进行了更深入的回答。我下面的答案是在链接答案之前两年写的。

Canonical 有Ubuntu 安全团队，这是一个付费小组，专业地审查和支持提交到 Ubuntu 存档的软件，以及发布修复程序（又名安全更新）。

来自 Ubuntu 维基：

Ubuntu 安全团队经常在软件获得正式支持之前对其进行审核。一旦发现漏洞，安全团队就会使用负责任的披露方式让其他人知道该问题。

Ubuntu 安全团队不单独处理软件包，而是与其他人合作，尤其是 Debian 安全团队和漏洞跟踪器，如MITRE CVE 数据库，并维护自己的 CVE 跟踪器。

同一个 wiki 页面还列出了他们积极参与开发工具以保护新漏洞的信息；其中，工具有 AppArmor、CompilerFlags 等。

特别是，安全团队常见问题解答指出：

与 Ubuntu 捆绑在一起的软件安装工具，例如 Ubuntu 软件中心和更新管理器，在安装软件包时会对其进行验证，以确保它们是安全的，并且在下载过程中没有被操纵或木马。此外，Ubuntu 安全团队正式支持存档中的大部分软件包，并及时更新可能出现的安全问题

因此，换句话说，由thomasrutter提出，包以加密方式签名以确保其验证。

安全团队监督的特定存储库也在常见问题解答中说明：

Ubuntu 安全团队在 Ubuntu 发行版的整个生命周期内支持 main 和 Restrict 中的所有二进制包，而 Ubuntu 社区支持 Universe 和 multiverse 中的二进制包。

当然，如今的软件以数百万行代码、多种语言运行，我们尊敬的主持人ThomasW 也是如此。 正确指出，安全团队也是人，他们不可能跟踪所有事情。所以是的，一些漏洞和错误可能会漏掉，尤其是在 Universe 和多元宇宙存储库中，但有人员和机制可以确保这些漏洞和错误不会猖獗。