En gruppe forskere fra University of Minnesota, hvis ændringsforslag for nylig blev blokeret af Greg Kroah-Hartman, har offentliggjort et åbent brev med undskyldninger og forklaring af deres motiver. Vi minder om, at gruppen har arbejdet med at undersøge svaghederne i anmeldelsesprocessen for indsendte patches og har evalueret muligheden for at integrere ændringer med skjulte sårbarheder. Efter modtagelsen af et tvivlsomt patch fra en af gruppens medlemmer med meningsløs rettelse blev det antaget, at forskerne igen forsøgte at eksperimentere med kerneudviklerne. Da sådanne eksperimenter potentielt udgør en sikkerhedstrussel og tager tid fra committers, blev det besluttet at blokere modtagelsen af ændringer og sende alle tidligere accepterede patches til revurdering.
I deres åbne brev erklærede gruppens medlemmer, at deres aktivitet udelukkende var motiveret af gode intentioner og ønsket om at forbedre anmeldelsesprocessen for ændringer ved at identificere og afhjælpe svagheder. Gruppen har i mange år studeret de processer, der fører til sårbarheder, og arbejder aktivt på at identificere og afhjælpe sårbarheder i Linux-kernen. Det hævdes, at alle de 190 patches, der er sendt til revurdering, er legitime, løser eksisterende problemer og ikke indeholder forsætlige fejl eller skjulte sårbarheder.
Den bekymrende undersøgelse om fremme af skjulte sårbarheder blev udført i august sidste år og begrænsede sig til at sende tre patches med fejl, hvor ingen af dem kom ind i kernens kodebase. Aktiviteten relateret til disse patches var begrænset til diskussion, og fremme af patches blev stoppet på stadiet før ændringerne blev tilføjet til Git. Koden for de tre problematiske patches er endnu ikke offentliggjort, da dette ville afsløre identiteten på dem, der udførte den indledende anmeldelse (information vil blive afsløret efter modtagelse af samtykke fra udviklerne, der ikke indså fejlene).
Den primære kilde til undersøgelsen var ikke egne patches, men analysen af patches, der nogensinde er blevet tilføjet til kernen, som senere har medført sårbarheder. Holdet fra University of Minnesota har ingen tilknytning til tilføjelsen af disse patches. I alt blev 138 problematiske patches undersøgt, som medførte fejl, og på tidspunktet for offentliggørelsen af forskningsresultaterne var alle relaterede fejl blevet rettet, inklusive ved deltagelse af forskerholdet.
Forskerne beklager, at de anvendte en upassende metode til at udføre eksperimentet. Fejlen var, at undersøgelsen blev udført uden at få tilladelse og uden at informere fællesskabet. Motivationen for den skjulte aktivitet var ønsket om at opnå eksperimentel renhed, da en meddelelse kunne have tiltrukket særskilt opmærksomhed til patches og deres vurdering på ikke-generelle betingelser. Selvom målet var at forbedre sikkerheden i kernen, har forskerne nu indset, at det var ukorrekt og uetisk at bruge fællesskabet som forsøgsdyr. Samtidig forsikrer forskerne, at de aldrig ville skade fællesskabet med vilje eller tillade indførelsen af nye sårbarheder i kernen.
Hvad angår den meningsløse patch, der tjente som katalysator for blokeringen, har den ingen relation til den tidligere undersøgelse og er relateret til et nyt projekt, der har til formål at skabe værktøjer til automatiseret identifikation af fejl, der opstår som følge af tilføjelsen af andre patches.
Gruppens deltagere forsøger nu at finde måder at genoptage deres deltagelse i udviklingen og har til hensigt at genoprette deres forhold til Linux Foundation og udviklerfællesskabet ved at bevise deres nytte i arbejdet med at øge sikkerheden i kernen og udtrykke ønsket om at arbejde hårdt for det fælles bedste og genoprette tilliden.
Kilde: opennet.ru
