是否有已知的Linux恶意软件事件来自非官方存储库？

Question

通常需要使用非官方的Linux软件存储库(例如，媒体编解码器、无线网卡驱动程序等)。因此有必要决定是否信任他们。

我试图弄清楚我应该花多少时间去寻找另一个我考虑使用的回购。恶意Linux repos弹出的情况有多普遍？它曾经发生过吗？

Answer 1

通常被破坏的是镜子。因此，原始回购并不是恶意的，而是托管在其上的镜像。

这就是为什么最好用包管理器下载，这样就有了gpg签名检查。如果手动下载，有时还可以验证校验和。

与gpg或校验和检查，您是安全的，不受损害的镜像。最危险的做法是在没有检查的情况下从镜像下载。