{"id":100020,"date":"2021-04-25T10:22:40","date_gmt":"2021-04-25T08:22:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux"},"modified":"2021-04-25T10:22:40","modified_gmt":"2021-04-25T08:22:40","slug":"komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","title":{"rendered":"Il team dell'Universit\u00e0 del Minnesota ha spiegato le motivazioni degli esperimenti con commit sospetti nel kernel Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 del Minnesota, il cui invio di modifiche \u00e8 stato recentemente bloccato da Greg Kroah-Hartman, ha pubblicato una lettera aperta di scuse e spiegazione dei motivi alla base delle proprie attivit\u00e0. Ricordiamo che il gruppo si stava occupando dello studio delle vulnerabilit\u00e0 nel processo di revisione delle patch inviate e della valutazione della possibilit\u00e0 di integrazione nel kernel di modifiche contenenti vulnerabilit\u00e0 nascoste. Dopo la ricezione di una patch discutibile da parte di uno dei membri del gruppo, contenente una correzione priva di senso, \u00e8 stata avanzata l'ipotesi che i ricercatori stessero tentando nuovamente di condurre esperimenti sui programmatori del kernel. Poich\u00e9 tali esperimenti rappresentano una potenziale minaccia per la sicurezza e fanno perdere tempo ai manutentori, \u00e8 stata presa la decisione di bloccare l'accettazione delle modifiche e di inviare tutte le patch precedentemente approvate a una revisione approfondita. <\/p>\n
Nel loro comunicato aperto, i membri del gruppo hanno dichiarato che la loro attivit\u00e0 \u00e8 stata motivata esclusivamente da buone intenzioni e dalla volont\u00e0 di migliorare il processo di revisione delle modifiche, identificando e risolvendo i punti deboli. Il gruppo studia da molti anni i processi che portano alla creazione di vulnerabilit\u00e0 e lavora attivamente per identificare e risolvere vulnerabilit\u00e0 nel kernel di Linux. Si afferma che tutti e 190 i patch inviati per una revisione sono legittimi, risolvono problemi esistenti e non contengono errori intenzionali o vulnerabilit\u00e0 nascoste. <\/p>\n
Uno studio preoccupante sulle vulnerabilit\u00e0 nascoste \u00e8 stato condotto nell'agosto dello scorso anno e si \u00e8 limitato all'invio di tre patch con errori, nessuna delle quali \u00e8 stata integrata nel codice sorgente del kernel. L'attivit\u00e0 relativa a queste patch si \u00e8 limitata a discussioni e la promozione delle patch \u00e8 stata arrestata prima dell'aggiunta delle modifiche in Git. Il codice delle tre patch problematiche non \u00e8 stato ancora rilasciato, poich\u00e9 ci\u00f2 rivelerebbe l'identit\u00e0 di coloro che hanno effettuato la revisione iniziale (l'informazione sar\u00e0 divulgata dopo aver ottenuto il consenso dagli sviluppatori che non hanno identificato gli errori). <\/p>\n
La principale fonte dello studio non erano le proprie patch, ma l'analisi delle patch di terze parti mai aggiunte al kernel, che successivamente hanno portato a vulnerabilit\u00e0. Il team dell'Universit\u00e0 del Minnesota non ha legami con l'aggiunta di queste patch. Sono state esaminate in totale 138 patch problematiche che hanno causato errori, e al momento della pubblicazione dei risultati dello studio, tutti gli errori associati erano stati corretti, anche con la partecipazione del team che ha condotto la ricerca. <\/p>\n
I ricercatori si rammaricano di aver utilizzato un metodo inadeguato per condurre l'esperimento. L'errore \u00e8 stato che lo studio \u00e8 stato condotto senza ottenere il consenso e senza informare la comunit\u00e0. Il motivo della loro attivit\u00e0 segreta era il desiderio di garantire la purezza dell'esperimento, poich\u00e9 informare avrebbe potuto attirare l'attenzione su patch specifici e sulla loro valutazione non su basi generali. Nonostante l'obiettivo fosse migliorare la sicurezza del kernel, ora i ricercatori si sono resi conto che utilizzare la comunit\u00e0 come cavia era inappropriato e poco etico. Allo stesso tempo, i ricercatori assicurano che non avrebbero mai intenzionalmente danneggiato la comunit\u00e0 n\u00e9 avrebbero permesso l'introduzione di nuove vulnerabilit\u00e0 nel codice operativo del kernel. <\/p>\n
Per quanto riguarda la patch irragionevole che ha catalizzato il blocco, essa non ha alcun legame con la ricerca passata ed \u00e8 invece collegata a un nuovo progetto mirato a creare strumenti per l'individuazione automatica di errori risultanti dall'aggiunta di altre patch. <\/p>\n
Attualmente, i membri del gruppo stanno cercando modi per riprendere parte nello sviluppo e intendono ristabilire i loro rapporti con la Linux Foundation e la comunit\u00e0 degli sviluppatori, dimostrando la loro utilit\u00e0 nel migliorare la sicurezza del kernel e mostrando la volont\u00e0 di lavorare intensamente per il bene comune e il ripristino della fiducia. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"