{"id":100020,"date":"2021-04-25T10:22:40","date_gmt":"2021-04-25T08:22:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux"},"modified":"2021-04-25T10:22:40","modified_gmt":"2021-04-25T08:22:40","slug":"komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","title":{"rendered":"Das Team der Universit\u00e4t Minnesota erkl\u00e4rte die Beweggr\u00fcnde f\u00fcr Experimente mit fragw\u00fcrdigen Commits im Linux-Kernel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Gruppe von Forschern der University of Minnesota, deren \u00c4nderungen k\u00fcrzlich von Greg Kroah-Hartman blockiert wurden, ver\u00f6ffentlichte einen offenen Brief, in dem sie sich entschuldigten und die Motive ihrer T\u00e4tigkeit erkl\u00e4rten. Zur Erinnerung: Die Gruppe besch\u00e4ftigte sich mit der Untersuchung von Schwachstellen im Review-Prozess einreichender Patches und der Beurteilung der M\u00f6glichkeit, \u00c4nderungen mit versteckten Schwachstellen in den Kernel zu integrieren. Nachdem von einem der Gruppenmitglieder ein fragw\u00fcrdiger Patch mit sinnlosen \u00c4nderungen eingereicht wurde, wurde die Annahme ge\u00e4u\u00dfert, dass die Forscher erneut versuchen, Experimente mit Kernel-Entwicklern durchzuf\u00fchren. Da solche Experimente potenziell ein Sicherheitsrisiko darstellen und die Zeit der Committers in Anspruch nehmen, wurde beschlossen, die Annahme von \u00c4nderungen zu blockieren und alle zuvor angenommenen Patches zur erneuten \u00dcberpr\u00fcfung zur\u00fcckzusenden. <\/p>\n
In ihrem offenen Brief erkl\u00e4rten die Gruppenmitglieder, dass ihre Aktivit\u00e4ten ausschlie\u00dflich von guten Absichten und dem Wunsch motiviert waren, den Prozess der \u00c4nderungen-\u00dcberpr\u00fcfung zu verbessern, indem sie Schwachstellen identifizierten und beseitigten. Die Gruppe besch\u00e4ftigt sich seit vielen Jahren mit den Prozessen, die zur Entstehung von Schwachstellen f\u00fchren, und arbeitet aktiv daran, Schwachstellen im Linux-Kernel zu identifizieren und zu beseitigen. Es wird behauptet, dass alle 190 zur erneuten \u00dcberpr\u00fcfung eingereichten Patches legitim sind, bestehende Probleme beheben und keine absichtlichen Fehler oder versteckten Schwachstellen enthalten. <\/p>\n
Die besorgniserregende Untersuchung zur F\u00f6rderung versteckter Schwachstellen wurde im August letzten Jahres durchgef\u00fchrt und beschr\u00e4nkte sich auf die Einreichung von drei fehlerhaften Patches, von denen keiner in das Kernquellcode eingebunden wurde. Die Aktivit\u00e4ten im Zusammenhang mit diesen Patches beschr\u00e4nkten sich lediglich auf Diskussionen, und die F\u00f6rderung der Patches wurde in der Phase vor der Hinzuf\u00fcgung der \u00c4nderungen zu Git gestoppt. Der Code der drei problematischen Patches wird derzeit nicht ver\u00f6ffentlicht, da dies die Identit\u00e4t derjenigen offenbaren w\u00fcrde, die das urspr\u00fcngliche Review durchgef\u00fchrt haben (die Informationen werden nach Zustimmung der Entwickler, die die Fehler nicht erkannt haben, ver\u00f6ffentlicht). <\/p>\n
Die Hauptquelle der Untersuchung waren nicht die eigenen Patches, sondern die Analyse von jemals in den Kernel eingef\u00fcgten externen Patches, die sp\u00e4ter zu Sicherheitsanf\u00e4lligkeiten f\u00fchrten. Zum Hinzuf\u00fcgen dieser Patches hat das Team der University of Minnesota keine Verbindung. Insgesamt wurden 138 problematische Patches untersucht, die zu Fehlern f\u00fchrten, und zum Zeitpunkt der Ver\u00f6ffentlichung der Forschungsergebnisse waren alle damit verbundenen Fehler behoben, auch mit Beteiligung des Forschungsteams. <\/p>\n
Die Forscher bedauern, dass sie eine unangemessene Methode zur Durchf\u00fchrung des Experiments gew\u00e4hlt haben. Der Fehler war, dass die Forschung ohne Genehmigung und ohne Benachrichtigung der Gemeinschaft durchgef\u00fchrt wurde. Das Motiv f\u00fcr die heimliche T\u00e4tigkeit war der Wunsch, die Reinheit des Experiments zu bewahren, da eine Benachrichtigung die Aufmerksamkeit auf die Patches und deren Bewertung auf nicht allgemeine Weise lenken k\u00f6nnte. Obwohl das Ziel die Verbesserung der Sicherheit des Kernels war, haben die Forscher nun erkannt, dass es unangebracht und unethisch war, die Gemeinschaft als Versuchskaninchen zu verwenden. Dabei versichern die Forscher, dass sie der Gemeinschaft niemals absichtlich h\u00e4tte schaden wollen und keine neuen Sicherheitsanf\u00e4lligkeiten im funktionierenden Kernelscode h\u00e4tten einf\u00fchren wollen. <\/p>\n
Was den sinnbefreiten Patch angeht, der als Katalysator f\u00fcr die Blockade diente, so hat er nichts mit der fr\u00fcheren Untersuchung zu tun und ist mit einem neuen Projekt verbunden, das darauf abzielt, Werkzeuge zur automatisierten Fehlererkennung zu schaffen, die durch das Hinzuf\u00fcgen anderer Patches entstehen. <\/p>\n
Die Gruppenmitglieder versuchen momentan, Wege zur\u00fcckzufinden, um sich wieder an der Entwicklung zu beteiligen, und beabsichtigen, ihre Beziehungen zur Linux Foundation und zur Entwicklergemeinschaft zu verbessern, indem sie ihren Nutzen zur Erh\u00f6hung der Sicherheit des Kernels nachweisen und den Wunsch \u00e4u\u00dfern, intensiv f\u00fcr das gemeinsame Wohl zu arbeiten und das Vertrauen zur\u00fcckzugewinnen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"