Das Team der Universität Minnesota erklärte die Beweggründe für Experimente mit fragwürdigen Commits im Linux-Kernel

Eine Gruppe von Forschern der University of Minnesota, deren Änderungen kürzlich von Greg Kroah-Hartman blockiert wurden, veröffentlichte einen offenen Brief, in dem sie sich entschuldigten und die Motive ihrer Tätigkeit erklärten. Zur Erinnerung: Die Gruppe beschäftigte sich mit der Untersuchung von Schwachstellen im Review-Prozess einreichender Patches und der Beurteilung der Möglichkeit, Änderungen mit versteckten Schwachstellen in den Kernel zu integrieren. Nachdem von einem der Gruppenmitglieder ein fragwürdiger Patch mit sinnlosen Änderungen eingereicht wurde, wurde die Annahme geäußert, dass die Forscher erneut versuchen, Experimente mit Kernel-Entwicklern durchzuführen. Da solche Experimente potenziell ein Sicherheitsrisiko darstellen und die Zeit der Committers in Anspruch nehmen, wurde beschlossen, die Annahme von Änderungen zu blockieren und alle zuvor angenommenen Patches zur erneuten Überprüfung zurückzusenden.

In ihrem offenen Brief erklärten die Gruppenmitglieder, dass ihre Aktivitäten ausschließlich von guten Absichten und dem Wunsch motiviert waren, den Prozess der Änderungen-Überprüfung zu verbessern, indem sie Schwachstellen identifizierten und beseitigten. Die Gruppe beschäftigt sich seit vielen Jahren mit den Prozessen, die zur Entstehung von Schwachstellen führen, und arbeitet aktiv daran, Schwachstellen im Linux-Kernel zu identifizieren und zu beseitigen. Es wird behauptet, dass alle 190 zur erneuten Überprüfung eingereichten Patches legitim sind, bestehende Probleme beheben und keine absichtlichen Fehler oder versteckten Schwachstellen enthalten.

Die besorgniserregende Untersuchung zur Förderung versteckter Schwachstellen wurde im August letzten Jahres durchgeführt und beschränkte sich auf die Einreichung von drei fehlerhaften Patches, von denen keiner in das Kernquellcode eingebunden wurde. Die Aktivitäten im Zusammenhang mit diesen Patches beschränkten sich lediglich auf Diskussionen, und die Förderung der Patches wurde in der Phase vor der Hinzufügung der Änderungen zu Git gestoppt. Der Code der drei problematischen Patches wird derzeit nicht veröffentlicht, da dies die Identität derjenigen offenbaren würde, die das ursprüngliche Review durchgeführt haben (die Informationen werden nach Zustimmung der Entwickler, die die Fehler nicht erkannt haben, veröffentlicht).

Die Hauptquelle der Untersuchung waren nicht die eigenen Patches, sondern die Analyse von jemals in den Kernel eingefügten externen Patches, die später zu Sicherheitsanfälligkeiten führten. Zum Hinzufügen dieser Patches hat das Team der University of Minnesota keine Verbindung. Insgesamt wurden 138 problematische Patches untersucht, die zu Fehlern führten, und zum Zeitpunkt der Veröffentlichung der Forschungsergebnisse waren alle damit verbundenen Fehler behoben, auch mit Beteiligung des Forschungsteams.

Die Forscher bedauern, dass sie eine unangemessene Methode zur Durchführung des Experiments gewählt haben. Der Fehler war, dass die Forschung ohne Genehmigung und ohne Benachrichtigung der Gemeinschaft durchgeführt wurde. Das Motiv für die heimliche Tätigkeit war der Wunsch, die Reinheit des Experiments zu bewahren, da eine Benachrichtigung die Aufmerksamkeit auf die Patches und deren Bewertung auf nicht allgemeine Weise lenken könnte. Obwohl das Ziel die Verbesserung der Sicherheit des Kernels war, haben die Forscher nun erkannt, dass es unangebracht und unethisch war, die Gemeinschaft als Versuchskaninchen zu verwenden. Dabei versichern die Forscher, dass sie der Gemeinschaft niemals absichtlich hätte schaden wollen und keine neuen Sicherheitsanfälligkeiten im funktionierenden Kernelscode hätten einführen wollen.

Was den sinnbefreiten Patch angeht, der als Katalysator für die Blockade diente, so hat er nichts mit der früheren Untersuchung zu tun und ist mit einem neuen Projekt verbunden, das darauf abzielt, Werkzeuge zur automatisierten Fehlererkennung zu schaffen, die durch das Hinzufügen anderer Patches entstehen.

Die Gruppenmitglieder versuchen momentan, Wege zurückzufinden, um sich wieder an der Entwicklung zu beteiligen, und beabsichtigen, ihre Beziehungen zur Linux Foundation und zur Entwicklergemeinschaft zu verbessern, indem sie ihren Nutzen zur Erhöhung der Sicherheit des Kernels nachweisen und den Wunsch äußern, intensiv für das gemeinsame Wohl zu arbeiten und das Vertrauen zurückzugewinnen.

Quelle: opennet.ru