Сценарій встановлення кожного пакета має кореневий доступ до вашої системи, тому сам акт додавання PPA або встановлення пакету з одного - це неявна заява про довіру вашого боку власника PPA.
Отже, що станеться, якщо ваша довіра не помічена і власник PPA хоче бути неслухняним?
Для завантаження в PPA пакет повинен бути підписаний ключем GPG, унікальним для користувача стартапа (дійсно, тим самим ключем, з яким вони підписали кодекс поведінки). Тож у випадку відомого зловмисного PPA ми б просто заборонили обліковий запис і закрили PPA (постраждалі системи все одно будуть скомпрометовані, але немає жодного хорошого способу їх виправити в цьому випадку).
Певною мірою соціальні функції Launchpad можуть бути використані як запобіжний захід поганих користувачів - хтось, хто має історію внеску в Ubuntu, і якась усталена карма Launchpad, менше шансів створити PPA пастки.
Або що робити, якщо хтось здобув контроль над PPA, який не є їхнім?
Ну, це трохи жорсткіший сценарій загрози, але також менш вірогідний, оскільки він вимагає, щоб зловмисник отримував як файл приватного ключа користувачів запуску (як правило, лише на їхньому комп’ютері), так і код розблокування для нього (як правило, надійний пароль не використовується для чого-небудь іншого). Якщо це трапиться, однак, звичайно, хтось зрозуміє, що їх обліковий запис порушено (Launchpad, наприклад, надішле їх електронною поштою про пакунки, які вони не завантажують), і процедура очищення була б такою ж.
Отже, підсумовуючи, PPA - це можливий вектор шкідливого програмного забезпечення, але, мабуть, є набагато простіші методи, щоб зловмисники йшли за вами.