L'installateur de chaque paquet script a un accès root à votre système, de sorte que le simple fait d'ajouter un PPA ou d'installer un paquet à partir d'un PPA constitue une déclaration de confiance implicite de votre part à l'égard du propriétaire du PPA.
Que se passe-t-il donc si votre confiance est mal placée et que le propriétaire d'un PPA veut faire des bêtises ?
Pour pouvoir être téléchargé sur un PPA, un paquet doit être signé par une clé GPG propre à l'utilisateur du launchpad (en fait, la même clé que celle avec laquelle il a signé le code de conduite). Ainsi, dans le cas d'un PPA malveillant connu, nous bannirions simplement le compte et fermerions le PPA (les systèmes affectés seraient toujours compromis, mais il n'y a pas de bonne façon de les réparer à ce stade de toute façon).
Dans une certaine mesure, les fonctions sociales de Launchpad peuvent être utilisées comme une mesure préventive des mauvais utilisateurs - quelqu'un qui a contribué à Ubuntu dans le passé et qui a un karma Launchpad établi, par exemple, est moins susceptible de mettre en place un PPA piège.
Ou que se passe-t-il si quelqu'un prend le contrôle d'un AAE qui n'est pas le sien ?
Il s'agit d'un scénario de menace un peu plus difficile, mais aussi moins probable, puisqu'il nécessite qu'un attaquant obtienne à la fois le fichier de la clé privée de l'utilisateur du launchpad (généralement uniquement sur son ordinateur) et le code de déverrouillage (généralement un mot de passe fort qui n'est utilisé pour rien d'autre). Si cela se produit, il est généralement assez simple pour quelqu'un de comprendre que son compte a été compromis (Launchpad lui enverra par exemple un courrier électronique concernant les paquets qu'il n'a pas téléchargés), et la procédure de nettoyage sera la même.
En résumé, les PPA sont un vecteur possible de logiciels malveillants, mais il existe probablement des méthodes beaucoup plus faciles pour les attaquants de s'en prendre à vous.
