Krótko mówiąc, tak, są bezpieczne, ponieważ kryptografia klucza publicznego służy do podpisywania plików.
Wszystkie pliki pobrane przez APT mają podpis, który pozwala zweryfikować pobrany plik na podstawie kluczy publicznych przechowywanych na twoim komputerze jako podpisanych przez Ubuntu i tylko Ubuntu. To potwierdza, że otrzymany plik został autoryzowany przez Ubuntu na pewnym etapie i od tego czasu nie został zmodyfikowany ani zmodyfikowany.
Techniczne wyjaśnienie tego, jak to działa, jest dostępne w Ubuntu (oraz w Debianie, który używa tego samego systemu).
Ze względu na użycie HTTP zamiast HTTPS, tak, osoby podsłuchujące mogą zobaczyć, które pliki pobierasz, ale w tym przypadku prywatność prawdopodobnie nie będzie Twoim problemem. Próba zmodyfikowania pakietów przez człowieka w środku w celu wstrzyknięcia szkodliwego kodu nadal nie powiodła się, ponieważ spowodowałaby uszkodzenie mechanizmu podpisywania.
Jednym z możliwych problemów w tym mechanizmie podpisywania jest to, że nie gwarantuje to, że otrzymujesz najbardziej aktualną wersję pakietu (w rzeczywistości czasami mirrory są powolne w aktualizacji). Aby złagodzić ten problem, podpisany plik wydania zawiera datę „Ważna do”, po której wszystkie pliki, do których się odwołuje, należy uznać za nieaktualne. Byłoby prawdopodobne, aby człowiek w środku zastąpił archiwum niezmodyfikowaną wcześniejszą wersją archiwum w tej ważnej dacie i sprawił, że APT uznał, że nie ma żadnych aktualizacji. Ale nie mogą dokonywać dowolnych modyfikacji pakietów ani cofać się w przeszłość o pewien punkt.
Mechanizmy podpisywania zapewniają znacznie lepsze bezpieczeństwo niż HTTPS w tego rodzaju rozproszonym środowisku, w którym pliki są dublowane na wielu serwerach nie kontrolowanych przez Ubuntu. Zasadniczo musisz zaufać Ubuntu, a nie kopii lustrzanej, więc musisz udowodnić, że pliki pierwotnie pochodziły z Ubuntu i nie zostały zmodyfikowane od tego czasu - nie trzeba weryfikować tożsamości kopii lustrzanej.
Pamiętaj, że po dodaniu nieoficjalnego repozytorium do listy źródeł, takiego jak PPA, będziesz otrzymywać pliki, które nie są podpisane przez Ubuntu. APT powinien cię o tym ostrzec, ponieważ nie zostały podpisane certyfikatem pasującym do dowolnego klucza publicznego zainstalowanego na twoim komputerze, autoryzowanego przez Ubuntu.