{"id":100020,"date":"2021-04-25T10:22:40","date_gmt":"2021-04-25T08:22:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux"},"modified":"2021-04-25T10:22:40","modified_gmt":"2021-04-25T08:22:40","slug":"komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","title":{"rendered":"Das Team der University of Minnesota hat die Motive hinter den Experimenten mit fragw\u00fcrdigen Commits im Linux-Kernel erl\u00e4utert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Gruppe von Forschern der Universit\u00e4t Minnesota, deren \u00c4nderungen k\u00fcrzlich von Greg Kroah-Hartman blockiert wurden, hat ein offenes Schreiben ver\u00f6ffentlicht, in dem sie sich entschuldigen und ihre Beweggr\u00fcnde darlegen. Zur Erinnerung: Die Gruppe besch\u00e4ftigte sich mit der Untersuchung von Schwachstellen im Review-Prozess eingehender Patches und der Bewertung der M\u00f6glichkeit, \u00c4nderungen mit versteckten Sicherheitsanf\u00e4lligkeiten in den Kernel zu integrieren. Nachdem ein dubioser Patch mit bedeutungslosen \u00c4nderungen von einem Gruppenmitglied eingereicht wurde, wurde die Vermutung ge\u00e4u\u00dfert, dass die Forscher erneut versuchen, Experimente an den Kernel-Entwicklern durchzuf\u00fchren. Da solche Experimente potenziell eine Bedrohung f\u00fcr die Sicherheit darstellen und die Zeit der Commiter in Anspruch nehmen, wurde beschlossen, die Annahme von \u00c4nderungen zu blockieren und alle zuvor akzeptierten Patches zur erneuten \u00dcberpr\u00fcfung zur\u00fcckzusenden. <\/p>\n
In ihrem offenen Schreiben erkl\u00e4rte die Gruppe, dass ihre Aktivit\u00e4ten ausschlie\u00dflich aus edlen Motiven und dem Wunsch entstanden seien, den \u00c4nderungs\u00fcberpr\u00fcfungsprozess zu verbessern, indem sie Schwachstellen identifizieren und beseitigen. Die Gruppe besch\u00e4ftigt sich seit vielen Jahren mit den Prozessen, die zu Sicherheitsanf\u00e4lligkeiten f\u00fchren, und arbeitet aktiv an der Identifizierung und Behebung von Schwachstellen im Linux-Kernel. Es wird behauptet, dass alle 190 eingereichten Patches zur erneuten \u00dcberpr\u00fcfung legitim sind, bestehende Probleme beheben und keine absichtlichen Fehler oder versteckten Sicherheitsanf\u00e4lligkeiten enthalten. <\/p>\n
Im August letzten Jahres wurde eine besorgniserregende Untersuchung zur Einf\u00fchrung von versteckten Schwachstellen durchgef\u00fchrt, die lediglich in der Ver\u00f6ffentlichung von drei Fehlerpatches resultierte, von denen keiner in den Quellcode des Kernels aufgenommen wurde. Die damit verbundenen Aktivit\u00e4ten beschr\u00e4nkten sich auf Diskussionen, und die Promotion dieser Patches wurde vor der Implementierung der \u00c4nderungen in Git gestoppt. Der Code der drei problematischen Patches wird derzeit nicht bereitgestellt, da dies die Identit\u00e4t der Personen, die die urspr\u00fcngliche Begutachtung vorgenommen haben, offenbaren w\u00fcrde (Informationen werden nach Erhalt der Zustimmung der Entwickler, die die Fehler nicht erkannt haben, ver\u00f6ffentlicht). <\/p>\n
Der Hauptfokus der Untersuchung waren nicht die eigenen Patches, sondern die Analyse von Patches anderer, die jemals in den Kernel eingef\u00fcgt wurden und durch die nachfolgend Schwachstellen auftraten. Das Team der Universit\u00e4t Minnesota ist f\u00fcr die Hinzuf\u00fcgung dieser Patches nicht verantwortlich. Insgesamt wurden 138 problematische Patches untersucht, die zu Fehlern f\u00fchrten, und zum Zeitpunkt der Ver\u00f6ffentlichung der Forschungsergebnisse waren alle damit verbundenen Fehler behoben, auch unter Mitwirkung des Forschungsteams. <\/p>\n
Forscher bedauern, dass sie eine unangebrachte Methode zur Durchf\u00fchrung des Experiments gew\u00e4hlt haben. Ein Fehler war, dass die Untersuchung ohne Genehmigung und ohne Benachrichtigung der Community durchgef\u00fchrt wurde. Das Motiv f\u00fcr die verdeckten Aktivit\u00e4ten war der Wunsch, die Reinheit des Experiments zu gew\u00e4hrleisten, da eine Benachrichtigung m\u00f6glicherweise besondere Aufmerksamkeit auf die Patches und deren Bewertung lenken k\u00f6nnte. Obwohl das Ziel die Verbesserung der Sicherheit des Kernels war, haben die Forscher jetzt erkannt, dass die Verwendung der Community als Versuchskaninchen unangemessen und unethisch war. Die Forscher versichern jedoch, dass sie niemals absichtlich der Community schaden oder neue Schwachstellen im funktionsf\u00e4higen Kernel-Code einf\u00fchren wollten. <\/p>\n
Was den sinnlosen Patch betrifft, der als Katalysator f\u00fcr die Sperrung diente, so steht er in keinem Zusammenhang mit der fr\u00fcheren Untersuchung und ist mit einem neuen Projekt verbunden, das darauf abzielt, ein Werkzeug zur automatisierten Fehlererkennung zu entwickeln, das durch das Hinzuf\u00fcgen anderer Patches entsteht. <\/p>\n
Derzeit versuchen die Mitglieder der Gruppe, Wege zur\u00fcckzufinden, um an der Entwicklung teilzunehmen und ihre Beziehungen zur Linux Foundation sowie zur Entwicklergemeinschaft zu verbessern, indem sie ihre N\u00fctzlichkeit in der Sicherheitsverbesserung des Kernels nachweisen und den Wunsch \u00e4u\u00dfern, intensiv f\u00fcr das gemeinsame Wohl und die Wiederherstellung des Vertrauens zu arbeiten. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"