>не полдела. А подписать пакеты правильным ключом? А вот к таковым
>ключам обычно относятся довольно щепетильно и прецедентов чтобы кто-то смог раздать
>свой правильно подписанный пакет правильным ключом я что-то не припоминаю.

То-то в прошлом году Fedora и Red Hat ключи меняли :-) Если утащили SSH-ключ, то и ключ для подписывания пакетов можно утащить.

>Опять же в теории - возможно. На практике - в изменения между
>версий смотрят майнтайнеры и просто кучи любопытных.

Это скорее исключение из правил. Разработчики разные бывают, есть Google с двойным рецензированием кода и Postfix с очень жесткой проверкой патчей, а есть proftpd в который патчи раньше брали лишь бы собиралось. У мантейнеров тоже время не резиновое, оформили новую версию в пакет и за это спасибо, в код смотрят единицы, а тех кто аудитом занимается можно по пальцам пересчитать.

>По-моему, заранее было понятно что инфраструктуры известных проектов будут ломать - вкусные
>мишени. Можно рассматривать это как хороший признак - открытые проекты становятся
>популярны. И - да, им придется учиться с этим жить, а
>это подразумевает и пристальное внимание хакеров.

Да, сейчас интерес у атакующих пока только спортивный, хуже будет когда корыстные мотивы появятся.

>Не все так просто - коммиты обычно читает немало народа

Это в идеале, реально - времени у многих разработчиков не хватает, а интерес посторонних носит непостоянный характер. К томуже легко разобраться можно если 10 строк коммит, а если 10 000 ?

>2) Можно не ставить апдейты. Но тогда у вас будут известные дыры.

Серьезных дыр не так много, обычно мелочь разная или требуются особые условия.

>Ссылки то полезные. Вы б еще сказали - что по вашему мнению
>стоит делать :)

SELinux хороший шаг в правильную сторону, хотя мне лично подход AppArmor/Tomoyo более симпатичен. Упаковка критичных программ в chroot/виртуализированные контейнеры тоже вариант.
Некоторые мысли изложены на странице http://wiki.opennet.ru/SecurityTips