Un groupe de chercheurs de l'Universit\u00e9 du Minnesota, dont l'acceptation des modifications a r\u00e9cemment \u00e9t\u00e9 bloqu\u00e9e par Greg Kroah-Hartman, a publi\u00e9 une lettre ouverte pr\u00e9sentant des excuses et expliquant les motivations de leurs actions. Rappelons que le groupe se concentrait sur l'\u00e9tude des faiblesses du processus d'examen des patches soumis et sur l'\u00e9valuation de la possibilit\u00e9 d'inclure dans le noyau des modifications contenant des vuln\u00e9rabilit\u00e9s cach\u00e9es. Apr\u00e8s la r\u00e9ception d'un patch douteux d'un des membres du groupe, comportant un correctif sans signification, il a \u00e9t\u00e9 sugg\u00e9r\u00e9 que les chercheurs tentent \u00e0 nouveau d'exp\u00e9rimenter sur les d\u00e9veloppeurs du noyau. \u00c9tant donn\u00e9 que de telles exp\u00e9rimentations repr\u00e9sentent potentiellement une menace pour la s\u00e9curit\u00e9 et prennent du temps aux commiteurs, il a \u00e9t\u00e9 d\u00e9cid\u00e9 de bloquer l'acceptation des modifications et de renvoyer tous les patches pr\u00e9c\u00e9demment accept\u00e9s pour un nouvel examen. <\/p>\n
Dans leur lettre ouverte, les membres du groupe ont d\u00e9clar\u00e9 que leurs actions \u00e9taient motiv\u00e9es uniquement par de bonnes intentions et le d\u00e9sir d'am\u00e9liorer le processus d'examen des modifications en identifiant et en corrigeant les faiblesses. Le groupe \u00e9tudie depuis de nombreuses ann\u00e9es les processus conduisant \u00e0 l'\u00e9mergence de vuln\u00e9rabilit\u00e9s et travaille activement \u00e0 l'identification et \u00e0 l'\u00e9limination des failles dans le noyau Linux. Il est affirm\u00e9 que tous les 190 patches envoy\u00e9s pour un nouvel examen sont l\u00e9gitimes, corrigent des probl\u00e8mes existants et ne contiennent pas d'erreurs intentionnelles ou de vuln\u00e9rabilit\u00e9s cach\u00e9es. <\/p>\n
L'\u00e9tude pr\u00e9occupante sur la promotion de vuln\u00e9rabilit\u00e9s cach\u00e9es a \u00e9t\u00e9 men\u00e9e en ao\u00fbt dernier et a \u00e9t\u00e9 limit\u00e9e \u00e0 l'envoi de trois patches contenant des erreurs, aucun d'eux n'ayant \u00e9t\u00e9 int\u00e9gr\u00e9 \u00e0 la base de code du noyau. L'activit\u00e9 li\u00e9e \u00e0 ces patches s'est limit\u00e9e \u00e0 des discussions et la promotion des patches a \u00e9t\u00e9 stopp\u00e9e avant l'ajout des modifications dans Git. Le code des trois patches probl\u00e9matiques n'est pas encore fourni, car il r\u00e9v\u00e9lerait l'identit\u00e9 de ceux ayant effectu\u00e9 l'examen initial (les informations seront divulgu\u00e9es apr\u00e8s avoir obtenu le consentement des d\u00e9veloppeurs, qui n'ont pas reconnu les erreurs). <\/p>\n
La principale source de l'\u00e9tude n'\u00e9tait pas les propres correctifs, mais plut\u00f4t l'analyse des correctifs \u00e9trangers qui ont \u00e9t\u00e9 ajout\u00e9s au noyau, entra\u00eenant par la suite l'\u00e9mergence de vuln\u00e9rabilit\u00e9s. L'\u00e9quipe de l'Universit\u00e9 du Minnesota n'a aucun lien avec l'ajout de ces correctifs. Au total, 138 correctifs probl\u00e9matiques ayant entra\u00een\u00e9 des erreurs ont \u00e9t\u00e9 \u00e9tudi\u00e9s, et au moment de la publication des r\u00e9sultats de l'\u00e9tude, toutes les erreurs associ\u00e9es avaient \u00e9t\u00e9 corrig\u00e9es, y compris avec la participation de l'\u00e9quipe ayant men\u00e9 la recherche. <\/p>\n
Les chercheurs regrettent d'avoir utilis\u00e9 une m\u00e9thode inappropri\u00e9e pour mener l'exp\u00e9rience. L'erreur r\u00e9sidait dans le fait que l'\u00e9tude a \u00e9t\u00e9 r\u00e9alis\u00e9e sans autorisation ni notification de la communaut\u00e9. Le motif de cette activit\u00e9 cach\u00e9e \u00e9tait le d\u00e9sir d'assurer la rigueur de l'exp\u00e9rience, puisque la notification aurait pu attirer une attention particuli\u00e8re sur les correctifs et leur \u00e9valuation non fond\u00e9e. Bien que l'objectif ait \u00e9t\u00e9 d'am\u00e9liorer la s\u00e9curit\u00e9 du noyau, les chercheurs ont maintenant pris conscience que l'utilisation de la communaut\u00e9 comme un cobaye \u00e9tait incorrecte et contraire \u00e0 l'\u00e9thique. Les chercheurs assurent qu'ils n'auraient jamais intentionnellement nui \u00e0 la communaut\u00e9 ni permis l'introduction de nouvelles vuln\u00e9rabilit\u00e9s dans le code du noyau en production. <\/p>\n
En ce qui concerne le correctif inutile qui a servi de catalyseur pour le blocage, il n\u2019a aucun lien avec la recherche ant\u00e9rieure et est li\u00e9 \u00e0 un nouveau projet visant \u00e0 cr\u00e9er des outils pour la d\u00e9tection automatis\u00e9e des erreurs r\u00e9sultant de l'ajout d'autres correctifs. <\/p>\n