Група изследователи от Университета Минесота, приетите на промени, които наскоро бяха блокирани от Грег Кроа-Хартман, публикува открито писмо с извинения и обяснение на мотивите си. Напомняме, че групата се занимаваше изследването на слабите места в рецензирането на постъпващи пачове и оценка на възможността за напредък в ядрото с промени, съдържащи скрити уязвимости. След постъпване на съмнителен пач от един от участниците на групата с нецелесъобразна корекция, беше направено предположение, че изследователите отново се опитват да провеждат експерименти върху разработчиците на ядрото. Тъй като подобни експерименти потенциално представляват заплаха за сигурността и отнемат време на комитите, беше решено да се блокира приемането на промени и да се изпратят всички предварително приети пачове за повторно рецензиране.
В своето открито писмо участниците на групата заявиха, че дейността им е била мотивирана единствено от добри намерения и желание да се подобри процесът на рецензиране на промените, чрез откриване и отстраняване на слабите места. Групата вече много години изследва процесите, които водят до появата на уязвимости, и активно работи за откриването и отстраняването на уязвимости в ядрото на Linux. Утвърджа се, че всички от изпратените за повторно рецензиране 190 пача са легитимни, коригират съществуващи проблеми и не съдържат нарочно допуснати грешки или скрити уязвимости.
Причиняващото притеснение изследване за напредък със скрити уязвимости беше проведено през август миналата година и се ограничи до изпращането на три пача с грешки, нито един от които не попадна в кодовата база на ядрото. Свързаната с тези пачове активност се ограничи само до обсъждане и напредъкът на пачовете беше спрян на етапа преди б добавяне на промените в Git. Кодът на трите проблемни пача все още не е предоставен, тъй като това ще разкрие лицата на тези, които провеждаха начално рецензиране (информацията ще бъде разкрита след получаване на съгласие от разработчиците, които не са разпознали грешките).
Основният източник на изследването не са били собствените патчи, а анализът на чужди патчи, добавяни в ядрото, вследствие на което в последствие се появили уязвимости. Добавянето на тези патчи не е било свързано с екипа на Университета на Минесота. Общо са разгледани 138 проблемни патча, водещи до възникване на грешки, и към момента на публикуването на резултатите от изследването всички свързани с тях грешки са били поправени, включително с участието на екипа, провел изследването.
Изследователите изразяват съжаление, че са използвали неуместен метод за провеждане на експеримента. Грешката е била в това, че изследването е било проведено без получаване на разрешение и без уведомяване на общността. Мотивът за скритата дейност е било желанието за чистота на експеримента, тъй като уведомленията биха могли да привлекат специално внимание към патчовете и оценката им не на общи основания. Въпреки че целта е била да се подобри сигурността на ядрото, изследователите осъзнават, че използването на общността за опитно поле е било неуместно и неетично. В същото време изследователите уверяват, че никога не биха навредили на общността и не биха позволили внасянето на нови уязвимости в работния код на ядрото.
Що се отнася до безсмисления патч, който послужи като катализатор за блокировката, той няма връзка с предишното изследване и е свързан с нов проект, насочен към създаването на инструменти за автоматизирано откриване на грешки, появяващи се при добавяне на други патчове.
В момента участниците в групата се опитват да намерят начини за завръщане към участието в разработката и възнамеряват да наладят отношенията си с Linux Foundation и общността на разработчиците, доказвайки своята полезност в подобряването на сигурността на ядрото и изразявайки желание да работят усилено за общото благо и възстановяване на доверието.
Източник: opennet.ru
