Skupina vědců z Univerzity v Minnesotě, jejíž příjem změn byl nedávno zablokován Gregem Kroa-Hartmanem, zveřejnila otevřený dopis s omluvou a vysvětlením svých motivů. Připomínáme, že skupina se zabývala zkoumáním slabých míst v recenzování přicházejících patchů a hodnocením možnosti propuštění změn do jádra s skrytými zranitelnostmi. Po obdržení sporného patchu od jednoho z účastníků skupiny s bezvýznamnou opravou se objevila domněnka, že vědci se znovu pokoušejí experimentovat s vývojáři jádra. Vzhledem k tomu, že takové experimenty potenciálně představují bezpečnostní hrozbu a zabírají čas komitérům, rozhodlo se o zablokování příjmu změn a opětovném přezkoumání všech dříve přijatých patchů.
Ve svém otevřeném dopise účastníci skupiny uvedli, že jejich činnost byla motivována výhradně dobrými úmysly a snahou zlepšit proces recenzování změn tím, že odhalí a odstraní slabá místa. Skupina již mnoho let zkoumá procesy, které vedou k vzniku zranitelností, a aktivně pracuje na odhalování a odstranění zranitelností v jádře Linuxu. Je tvrzeno, že všechny ze 190 patchů zaslaných na opětovné přezkoumání jsou legitimní, opravují existující problémy a neobsahují záměrné chyby nebo skryté zranitelnosti.
Znepokojivá studie zaměřená na propagaci skrytých zranitelností byla provedena v srpnu minulého roku a omezila se na zaslání tří patchů s chybami, z nichž žádný nebyl zařazen do kódové základny jádra. S těmito patchemi spojená aktivita se omezila pouze na diskusi a propagace patchů byla zastavena na úrovni před přidáním změn do Gitu. Kód třech problematických patchů zatím není uveden, protože by to odhalilo totožnosti těch, kteří prováděli počáteční recenzování (informace budou zveřejněny po získání souhlasu od vývojářů, kteří chyby neidentifikovali).
Hlavním zdrojem výzkumu nebyly vlastní patche, ale analýza kdykoli přidaných externích patchů, které v budoucnu vedly k zranitelnostem. K přidání těchto patchů tým z Univerzity Minnesoty nemá žádný vztah. Celkem bylo prozkoumáno 138 problémových patchů, které vedly k chybám, a v okamžiku publikování výsledků výzkumu byly všechny související chyby opraveny, včetně za účasti týmu, který výzkum prováděl.
Výzkumníci litují, že zvolili nevhodnou metodu provádění experimentu. Chybou bylo, že výzkum byl proveden bez získání povolení a bez upozornění komunity. Motivem skryté činnosti bylo chtít dosáhnout čistoty experimentu, protože upozornění by mohlo přilákat zvláštní pozornost k patchům a jejich hodnocení na základě obecných podmínek. Přestože cílem bylo zlepšení bezpečnosti jádra, nyní si výzkumníci uvědomili, že využití komunity jako pokusného králíka bylo nepřesné a neetické. Přitom výzkumníci ujišťují, že nikdy by úmyslně neublížili komunitě ani by nezaváděli nové zranitelnosti do pracovního kódu jádra.
Co se týče bezúčelného patchu, který se stal katalyzátorem blokace, nemá žádný vztah k minulému výzkumu a souvisí s novým projektem zaměřeným na vytvoření nástrojů pro automatizované odhalování chyb, které vznikají v důsledku přidání jiných patchů.
Členové skupiny se nyní snaží najít cesty k návratu k účasti na vývoji a mají v úmyslu navázat vztahy s Linux Foundation a komunitou vývojářů, prokázat svou užitečnost v oblasti zvyšování bezpečnosti jádra a vyjádřit touhu intenzivně pracovat pro společné dobro a navrátit důvěru.
Zdroj: opennet.ru
