Der Anwender kann sich dann nur mit entsprechende Scanner schützen und diese können oder dürfen gar nicht „Open Source“ sein? Es wird vielleicht Zeit diese auch für Linux in Angriff zu nehmen..

Viel mehr Sicherheit als bei Ubuntu geht nicht. Ausser jedes Programm in einer Sandbox laufen zu lassen. Das schrenkt aber die meisten wieder zu viel ein, so das sie das wieder umgehen.

Bei Ubuntu ist ja schon fast alles open source. Jeder kann sich den Quellcode anschauen und selber kompilieren. Mehr geht nicht.

Wenn jemand so doof ist, und von irgendeiner unbekannten Quelle irgendein Paket herunterläd von dem er nicht weis was es macht, ist er selber dran schuld. Das ist genauso blöd wie sich mit Windows Photoshop von einer russischen Downloadseite herunterzuladen.

Und wieso installiert man ein Theme mit einem Paket? Da gibt es doch den Themeinstaller für Gnome-Look. Ich dachte der macht das?

Bei PPAs gibt es die soziale Kontrolle des Autors, die Kontrolle des Autors über seinen Code und dann wird das Paket noch von Launchpad gebaut. Das ist relativ sicher.

Die Berechtigungen für Programme einschränken, so dass sie nur im Userspace laufen, wäre möglich. Aber wenn ein Programm wieder mal nicht läuft und Rootrechte will, dann klicken die meisten Anwender schnell auf ok. Ohne Nachzudenken.

Wenn ein Entwickler oder Paketbastler meint, seine Pakete unter dem Pseudonym Foobar veröffentlichen zu müssen, dann soll das System wenigstens davor warnen. Ich persönlich will wissen, wer das Paket verbrochen hat, das ich mir das installiere und ich möchte die Person/Organisation im Zweifel oder bei Problemen ansprechen können.

Eine Verächtlichmachung von Andersdenkenden („Allerdings kann ich jetzt schon die Aufschreie vieler Entwickler hören, die sich ihrer “Freiheit” und ihrem Recht auf Anonymität beraubt fühlen.“) ist fehl am Platz. Solche Sätze haben Schäuble und VdL auch schon von sich gegeben- wahrscheinlich sogar einschließlich der Anführungszeichen um „Freiheit“.

Im vorliegenden Fall geht es um eine externe Seite die debs anbietet. Im übrigen bietet sie auch Pakete für Arch, aber nur selten.

Der Vorschlag von Chris ist nicht praktikabel. Zwar könnte man highlighten, wenn ein Paket in sensible Bereiche schreiben will, aber dann muss man die Malware eben kreativer schreiben und gerade ein Bildschirmschoner ist keine schlechte Wahl dafür, X ist sehr kompliziert und hat solange KMS nicht für alle Treiber verfügbar ist viele Rechte.

Mein Vorschlag wäre eine Blacklist und die simple umzusetzende Standardeinstellung, dass apt nur noch signierte Pakete akzeptiert und nicht mehr nur wie jetzt davor warnt. Bei jedem update würde apt nicht nur die Paketliste beziehen, sondern auch die Blacklist. In ihr werden alle Quellen und Schlüssel aufgelistet, die offenkundig wie gnome-look.org nicht in der Lage sind die Integrität der Pakete zu sichern.