Я предпочитаю отдельные виртуальные системы для каждой узкой задачи. Лучше использовать готовое решение в виде Whonix-шлюзов для их работы. И стараюсь прислушиваться к авторитетным источникам, сравнивать подписи программ и всё такое.
Опять же, аргумент в духе: Вы можете посмотреть исходный код или его исправить, работает только для тех, кто действительно может это сделать. Поэтому лучше смотреть просто на его наличие, или присутствие в списке свободных или открытых программ.
Но и это не даст гарантию безопасности, поэтому просто для конкретных целей выбираю свою одноразовую систему. Не обязательно с Tor или VPN.
Ну и ещё ряд вещей, которые может использовать каждый. В частности не юзать смартфон для дел, избегать JavaS. Простые вещи, доступные каждому.
При этом никакой не специалист или эксперт