Un gruppo di ricercatori dell'Università del Minnesota, il cui ricevimento delle modifiche è stato bloccato nei giorni scorsi da Greg Kroah-Hartman, ha pubblicato una lettera aperta di scuse e chiarimento sui motivi della propria attività. Ricordiamo che il gruppo si è occupato di studiare i punti deboli della revisione delle patch ricevute e di valutare la possibilità di aggiungere al kernel modifiche con vulnerabilità nascoste. Dopo la ricezione di una patch discussa da uno dei partecipanti con una correzione priva di senso, è stato ipotizzato che i ricercatori stessero nuovamente tentando di condurre esperimenti sui sviluppatori del kernel. Poiché tali esperimenti rappresentano potenzialmente una minaccia per la sicurezza e richiedono tempo ai collaboratori, è stata presa la decisione di bloccare il ricevimento delle modifiche e inviare tutte le patch precedentemente approvate per una revisione.
Nella loro lettera aperta, i membri del gruppo hanno dichiarato che la loro attività è stata motivata esclusivamente da buone intenzioni e dal desiderio di migliorare il processo di revisione delle modifiche, identificando ed eliminando i punti deboli. Il gruppo studia da molti anni i processi che portano alla nascita di vulnerabilità e lavora attivamente per rilevare e correggere vulnerabilità nel kernel Linux. Si afferma che tutte le 190 patch inviate per una nuova revisione siano legittime, correggano problemi esistenti e non contengano errori deliberati o vulnerabilità nascoste.
La preoccupante ricerca sulla promozione di vulnerabilità nascoste è stata condotta nell'agosto dello scorso anno e si è limitata all'invio di tre patch con errori, nessuna delle quali è stata inclusa nel codice sorgente del kernel. L'attività correlata a queste patch si è limitata solo alla discussione e la promozione delle patch è stata fermata prima che le modifiche venissero aggiunte a Git. Il codice delle tre patch problematiche non viene ancora fornito, poiché rivelerebbe l'identità di coloro che hanno condotto la revisione iniziale (le informazioni saranno divulgate dopo aver ottenuto il consenso degli sviluppatori che non hanno riconosciuto gli errori).
La principale fonte di ricerca non erano le patch proprie, ma l'analisi delle patch di terzi mai aggiunte al kernel, che successivamente hanno portato a vulnerabilità. Il team dell'Università del Minnesota non ha alcuna relazione con l'aggiunta di queste patch. Sono state studiate complessivamente 138 patch problematiche che hanno causato errori e, al momento della pubblicazione dei risultati della ricerca, tutti gli errori associati erano stati corretti, anche con la partecipazione del team di ricerca.
I ricercatori si rammaricano di aver utilizzato un metodo inappropriato per condurre l'esperimento. L'errore è stato che lo studio è stato condotto senza ottenere il permesso e senza informare la comunità. Il motivo dell'attività nascosta era il desiderio di mantenere la pulizia dell'esperimento, poiché la comunicazione avrebbe potuto attirare attenzione separata sulle patch e sulla loro valutazione non su basi comuni. Nonostante l'obiettivo fosse il miglioramento della sicurezza del kernel, ora i ricercatori hanno riconosciuto che utilizzare la comunità come un laboratorio di prova è stato scorretto e non etico. Tuttavia, i ricercatori assicurano che non avrebbero mai intenzionalmente danneggiato la comunità né avrebbero permesso l'introduzione di nuove vulnerabilità nel codice funzionante del kernel.
Per quanto riguarda la patch priva di significato che ha catalizzato il blocco, essa non ha alcuna relazione con la ricerca passata ed è collegata a un nuovo progetto mirato alla creazione di strumenti per l'identificazione automatizzata degli errori che sorgono a causa dell'aggiunta di altre patch.
Attualmente i membri del gruppo stanno cercando modi per tornare a partecipare allo sviluppo e intendono ristabilire i rapporti con la Linux Foundation e la comunità degli sviluppatori, dimostrando la loro utilità nel migliorare la sicurezza del kernel e esprimendo il desiderio di lavorare intensamente per il bene comune e per riconquistare la fiducia.
Fonte: opennet.ru
