Как проверить, что убунта предлагает скачать обновления с официального источника?

Можешь скачать и проверить подпись.

apt не даст поставить не оттуда.

Apt устроен таким образом, что качает только из источников, что упомянуты в /etc/apt/sources.list и /etc/apt/sources.list.d и защищены gpg ключем. Если у тебя нет прописанных неофициальных репозиториев, то он и не сможет скачать чего-то левого.

Спасибо.

DNS подмена, кто дома при обновлении проверяет ключи и подписи - жмут «Yes» на все запросы.

Ты чё выступаешь тут? Vsevolod-linuxoid сказал, что Apt устроен таким образом, что качает только из источников, значит так оно и есть.

Распечатать и в углу повесить как икону, чтобы молиться по утрам на эти святые слова?

А разве при такой подмене apt не запретит установку пакетов из такого источника, как небезопасную? Ведь у подменного репозитория не будет совпадать подпись ключей, в отличии от настоящих при обновлении?

Хорош, читай профиль. Я не против критики.

Апту плевать на источник, апт проверяет эцп пакета.

Гугли fake repository и удивись насколько всё просто. Не удивлюсь, если кровавое гэбэ уже давно практикует в масштабе страны. Постоянно подсовываемый левый firefox и хром на магистрали цветочками покажется.