Екип от университета в Минесота обясни мотивите за експериментиране със съмнителни ангажименти към ядрото на Linux

Група изследователи от университета на Минесота, чиито промени наскоро бяха блокирани от Грег Кроа-Хартман, публикуваха отворено писмо, в което се извиняват и обясняват мотивите за дейността си. Нека припомним, че групата проучваше слабостите в прегледа на входящите пачове и оценяваше възможността за насърчаване на промени със скрити уязвимости на ядрото. След получаване на съмнителен пач с безсмислена корекция от един от членовете на групата, се предполага, че изследователите отново се опитват да проведат експерименти върху разработчиците на ядрото. Тъй като такива експерименти потенциално представляват заплаха за сигурността и отнемат време от извършителите, беше решено да се блокира приемането на промените и да се изпратят всички по-рано приети корекции за повторен преглед.

В своето отворено писмо групата заяви, че дейността им е мотивирана единствено от добри намерения и желание да подобрят процеса на преглед на промените чрез идентифициране и адресиране на слабостите. Групата изучава процесите, които водят до уязвимости в продължение на много години и работи активно за идентифициране и премахване на уязвимостите в ядрото на Linux. Твърди се, че всичките 190 корекции, изпратени за повторен преглед, са легитимни, коригират съществуващи проблеми и не съдържат умишлени грешки или скрити уязвимости.

Тревожното проучване за насърчаване на скрити уязвимости беше проведено миналия август и беше ограничено до изпращане на три корекции за грешки, нито една от които не влезе в кодовата база на ядрото. Дейността, свързана с тези кръпки, беше ограничена само до обсъждане и напредъкът на корекциите беше спрян на етапа преди промените да бъдат добавени към Git. Кодът за трите проблемни корекции все още не е предоставен, тъй като това би разкрило самоличността на тези, които са извършили първоначалния преглед (информацията ще бъде разкрита след получаване на съгласие от разработчиците, които не са разпознали грешките).

Основният източник на изследването не бяха нашите собствени пачове, а анализът на пачове на други хора, добавени някога към ядрото, поради което впоследствие се появиха уязвимости. Екипът на университета в Минесота няма нищо общо с добавянето на тези кръпки. Проучени са общо 138 проблемни пача, довели до грешки, и към момента на публикуване на резултатите от проучването всички свързани грешки са били коригирани, включително с участието на екипа, провеждащ проучването.

Изследователите съжаляват, че са използвали неподходящ експериментален метод. Грешката беше, че проучването беше проведено без разрешение и без уведомяване на общността. Мотивът за скритата дейност беше желанието да се постигне чистотата на експеримента, тъй като уведомлението може да привлече специално внимание към пачовете и тяхната оценка не на обща основа. Въпреки че целта не беше да се подобри сигурността на ядрото, сега изследователите осъзнаха, че използването на общността като морско зайче е неподходящо и неетично. В същото време изследователите уверяват, че никога не биха навредили умишлено на общността и няма да позволят въвеждането на нови уязвимости в работния код на ядрото.

Що се отнася до безсмисления пач, който послужи като катализатор за забраната, той не е свързан с предишни изследвания и е свързан с нов проект, насочен към създаване на инструменти за автоматизирано откриване на грешки, които се появяват в резултат на добавянето на други пачове.

В момента членовете на групата се опитват да намерят начини да се върнат към разработката и възнамеряват да поправят отношенията си с Linux Foundation и общността на разработчиците, като докажат своята полезност за подобряване на сигурността на ядрото и изразят желание да работят усилено за общото благо и да си възвърнат доверието.

Източник: opennet.ru