Grupa istraživača sa Sveučilišta Minnesota, čiji je prijem promjena nedavno blokirao Greg Kroah-Hartman, objavila je otvoreno pismo u kojem se ispričava i objašnjava motive svoje djelatnosti. Podsjetimo, grupa se bavila istraživanjem slabih točaka recenziranja dolaznih zakrpa i procjenom mogućnosti za uključivanje promjena u jezgru s skrivenim ranjivostima. Nakon što je jedan od članova grupe poslao sumnjivu zakrpu s besmislenim ispravkom, postavljeno je pitanje da li istraživači ponovno pokušavaju provoditi eksperimente na programerima jezgre. S obzirom na to da takvi eksperimenti potencijalno predstavljaju sigurnosnu prijetnju i oduzimaju vrijeme komitentu, odlučeno je blokirati prijem promjena i poslati sve ranije prihvaćene zakrpe na ponovnu recenziju.
U svom otvorenom pismu članovi grupe izjavili su da je njihova djelatnost bila motivirana isključivo plemenitim namjerama i željom za poboljšanjem procesa recenziranja promjena, putem prepoznavanja i uklanjanja slabih točaka. Grupa već dugi niz godina proučava procese koji dovode do pojave ranjivosti i aktivno radi na prepoznavanju i uklanjanju ranjivosti u Linux jezgru. Navodi se da su sve zakrpe poslane na ponovnu recenziju legitimne, ispravljaju postojeće probleme i ne sadrže namjerne greške ili skrivene ranjivosti.
Istraživanje koje je izazvalo zabrinutost u vezi s promicanjem skrivenih ranjivosti provedeno je u kolovozu prošle godine i ograničilo se na slanje triju zakrpa s greškama, od kojih nijedna nije ušla u bazu koda jezgre. Aktivnost vezana uz te zakrpe ograničila se samo na raspravu i promicanje zakrpa je zaustavljeno na fazi prije nego što su promjene dodane u Git. Kod tri problematične zakrpe za sada nije naveden, jer bi to otkrilo identitet onih koji su provodili početnu recenziju (informacije će biti otkrivene nakon dobivanja pristanka od programera koji nisu prepoznali greške).
Glavni izvor istraživanja nisu bili vlastiti zakrpe, već analiza tuđih zakrpa koje su ikada dodane u kernel, zbog kojih su se kasnije javile ranjivosti. Tim sa Sveučilišta Minnesota nije imao nikakve veze s dodavanjem tih zakrpa. Ukupno je proučeno 138 problematičnih zakrpa koje su uzrokovale greške, a do trenutka objave rezultata istraživanja svi povezani problemi su ispravljeni, uključujući i sudjelovanje tima koji je proveo istraživanje.
Istraživači žale što su koristili neprimjerenu metodu provođenja eksperimenata. Greška je bila u tome što je istraživanje provedeno bez odobrenja i bez obavještavanja zajednice. Motiv skrivenih aktivnosti bila je želja za čistoćom eksperimenta, jer bi obavještavanje moglo privući posebnu pažnju na zakrpe i njihovu procjenu koja ne bi bila na općim osnovama. Iako je cilj bio poboljšanje sigurnosti kernela, istraživači su sada shvatili da je korištenje zajednice kao zamoraca bilo neispravno i neetično. Ipak, istraživači osiguravaju da nikada ne bi namjerno naudili zajednici i da ne bi dopustili uvođenje novih ranjivosti u radni kod kernela.
Što se tiče besmislenog zakrpe koja je poslužila kao katalizator blokade, ona nema veze s prethodnim istraživanjem i povezana je s novim projektom usmjerenim na stvaranje alata za automatsko otkrivanje grešaka koje se pojavljuju kao rezultat dodavanja drugih zakrpa.
Trenutno članovi grupe pokušavaju pronaći načine za povratak u sudjelovanje u razvoju i namjeravaju uspostaviti svoje odnose s Linux Foundation i zajednicom programera, dokazujući svoju korisnost u poboljšanju sigurnosti kernela i iskazujući želju da intenzivno rade za opće dobro i povratak povjerenja.
Izvor: opennet.ru
