SUID-бит у доверенных программ, да и от него постепенно отходят к соляроподобным полномочиям. А устанавливать программы нужно только из репозитория. :)

Другое дело, что в большинстве дистрибутивов есть куча мусорных реп. Особенно этим славится, ИМХО, openSUSE. Великолепный дистрибутив, замечательная идея Build Service, но стандартные и прочие официальные репы так скудны, что постепенно руки тянутся сначала к одному home:, потом уже и десятый-двадцатый появляются. Достаточно ghc запаковать, а там уже к нему можно и по сотне червяков подсовывать, люди с удовольствием съедят и попросят еще. Ибо, когда я смотрел SuSE в последний раз, ghc там был только в home:-репозиториях. :(

В меньшей степени это касается Ubuntu, т.к. там обильные стандартные репы. Но, например, chromium, насколько я помню, одно время можно было поставить только из сторонних ppa.