A kutatók egy csoportja a Minnesota Egyetemről, akinek az eljárásait nemrég Greg Kroah-Hartman blokkolta, nyilvános levelet tett közzé, amelyben bocsánatkérést és a tevékenységük indoklását fogalmazták meg. Emlékeztetünk, hogy a csoport a jövőbeni javítások recenzálásának gyenge pontjait kutatta, valamint azokat a lehetőségeket mérlegelte, hogy sokáig rejtett sebezhetőségeket tartalmazó változtatásokat juttathassanak a kernelbe. Az egyik csoporttagtól benyújtott gyanús patch, amely értelmetlen javítást tartalmazott, azt sejtette, hogy a kutatók újra kísérletezni próbálnak a kernel fejlesztőivel. Mivel az ilyen kísérletek potenciális biztonsági fenyegetést jelentenek és időt vonnak el a commit-erektől, úgy döntöttek, hogy leállítják a változtatások befogadását és a korábban elfogadott patch-eket újraértékelésre küldik.
Nyilvános levelükben a csoport tagjai kijelentették, hogy tevékenységüket kizárólag jóindulatú szándékok és a változtatások recenzálási folyamatának javítási vágya motiválta, a gyenge pontok azonosítása és kiküszöbölése révén. A csoport évek óta tanulmányozza azokat a folyamatokat, amelyek sebezhetőségekhez vezetnek, és aktívan dolgozik a Linux kernel sebezhetőségeinek azonosításán és kijavításán. Azt állítják, hogy az újraértékelésre benyújtott 190 patch mindegyike legitím, meglévő problémák javítását célozza, és nem tartalmaz szándékos hibákat vagy rejtett sebezhetőségeket.
A rejtett sebezhetőségek előmozdítására irányuló aggasztó kutatás tavaly augusztusban zajlott, és három hibás patch benyújtására korlátozódott, melyek közül egy sem került a kernel kódalapjába. A patch-ekkel kapcsolatos aktivitás csak a megbeszélésre szorítkozott, és a patch-ek előmozdítását a Git-be való változtatások hozzáadásának szakaszában leállították. A három problémás patch kódját egyelőre nem hozzák nyilvánosságra, mivel ez felfedné azok kilétét, akik a kezdeti recenzálást végezték (az információt a hibákat észlelő fejlesztők hozzájárulásának megszerzése után fogják közzétenni).
A kutatás fő forrása nem a saját javítások, hanem a korábban a kernelbe hozzáadott, külső javítások elemzése volt, amelyek miatt később sebezhetőségek merültek fel. Az adatjavítások hozzáadásához a Minnesota Egyetem csapatának nincs semmi köze. Összesen 138 problémás javítást vizsgáltak meg, amelyek hibákhoz vezettek, és a kutatási eredmények közzétételekor minden kapcsolódó hibát javítottak, beleértve azt a csapatot is, amely a kutatást végezte.
A kutatók sajnálják, hogy nem megfelelő módszert alkalmaztak a kísérlet lebonyolításakor. Hibának bizonyult, hogy a kutatást engedély nélkül és a közösség értesítése nélkül végezték. A rejtett tevékenység motivációja a kísérlet tisztaságának elérése volt, mivel a közlés külön figyelmet vonhatott volna magukra a javításokra és a megítélésükre. Annak ellenére, hogy a cél a kernel biztonságának javítása volt, a kutatók most rájöttek, hogy a közösség kísérleti nyúlként való kezelése helytelen és etikátlan volt. A kutatók biztosítják, hogy soha nem szándékoztak ártani a közösségnek, és nem engedték volna meg új sebezhetőségek bekerülését a kernel működő kódjába.
A blokkolást kiváltó értelmetlen javítással kapcsolatban meg kell jegyezni, hogy az nem kapcsolódik a korábbi kutatáshoz, hanem egy új projekthez, amely az automatizált hibafelismerő eszközök létrehozására irányul, amelyek más javítások hozzáadásából eredő hibákat azonosítanak.
Jelenleg a csoport résztvevői olyan utakat keresnek, hogy visszatérjenek a fejlesztéshez, és szándékuk a kapcsolat helyreállítása a Linux Foundation-nel és a fejlesztői közösséggel, bizonyítva, hogy hasznosak a kernel biztonságának fokozásában és kifejezve, hogy szorgalmasan dolgoznak a közös érdekért és a bizalom visszaállításáért.
Forrás: opennet.ru
