{"id":100020,"date":"2021-04-25T10:22:40","date_gmt":"2021-04-25T08:22:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux"},"modified":"2021-04-25T10:22:40","modified_gmt":"2021-04-25T08:22:40","slug":"komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","title":{"rendered":"Un team dell'Universit\u00e0 del Minnesota ha spiegato i motivi degli esperimenti con commit dubbi nel kernel di Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 del Minnesota, il cui ricevimento delle modifiche \u00e8 stato bloccato nei giorni scorsi da Greg Kroah-Hartman, ha pubblicato una lettera aperta di scuse e chiarimento sui motivi della propria attivit\u00e0. Ricordiamo che il gruppo si \u00e8 occupato di studiare i punti deboli della revisione delle patch ricevute e di valutare la possibilit\u00e0 di aggiungere al kernel modifiche con vulnerabilit\u00e0 nascoste. Dopo la ricezione di una patch discussa da uno dei partecipanti con una correzione priva di senso, \u00e8 stato ipotizzato che i ricercatori stessero nuovamente tentando di condurre esperimenti sui sviluppatori del kernel. Poich\u00e9 tali esperimenti rappresentano potenzialmente una minaccia per la sicurezza e richiedono tempo ai collaboratori, \u00e8 stata presa la decisione di bloccare il ricevimento delle modifiche e inviare tutte le patch precedentemente approvate per una revisione. <\/p>\n
Nella loro lettera aperta, i membri del gruppo hanno dichiarato che la loro attivit\u00e0 \u00e8 stata motivata esclusivamente da buone intenzioni e dal desiderio di migliorare il processo di revisione delle modifiche, identificando ed eliminando i punti deboli. Il gruppo studia da molti anni i processi che portano alla nascita di vulnerabilit\u00e0 e lavora attivamente per rilevare e correggere vulnerabilit\u00e0 nel kernel Linux. Si afferma che tutte le 190 patch inviate per una nuova revisione siano legittime, correggano problemi esistenti e non contengano errori deliberati o vulnerabilit\u00e0 nascoste. <\/p>\n
La preoccupante ricerca sulla promozione di vulnerabilit\u00e0 nascoste \u00e8 stata condotta nell'agosto dello scorso anno e si \u00e8 limitata all'invio di tre patch con errori, nessuna delle quali \u00e8 stata inclusa nel codice sorgente del kernel. L'attivit\u00e0 correlata a queste patch si \u00e8 limitata solo alla discussione e la promozione delle patch \u00e8 stata fermata prima che le modifiche venissero aggiunte a Git. Il codice delle tre patch problematiche non viene ancora fornito, poich\u00e9 rivelerebbe l'identit\u00e0 di coloro che hanno condotto la revisione iniziale (le informazioni saranno divulgate dopo aver ottenuto il consenso degli sviluppatori che non hanno riconosciuto gli errori). <\/p>\n
La principale fonte di ricerca non erano le patch proprie, ma l'analisi delle patch di terzi mai aggiunte al kernel, che successivamente hanno portato a vulnerabilit\u00e0. Il team dell'Universit\u00e0 del Minnesota non ha alcuna relazione con l'aggiunta di queste patch. Sono state studiate complessivamente 138 patch problematiche che hanno causato errori e, al momento della pubblicazione dei risultati della ricerca, tutti gli errori associati erano stati corretti, anche con la partecipazione del team di ricerca. <\/p>\n
I ricercatori si rammaricano di aver utilizzato un metodo inappropriato per condurre l'esperimento. L'errore \u00e8 stato che lo studio \u00e8 stato condotto senza ottenere il permesso e senza informare la comunit\u00e0. Il motivo dell'attivit\u00e0 nascosta era il desiderio di mantenere la pulizia dell'esperimento, poich\u00e9 la comunicazione avrebbe potuto attirare attenzione separata sulle patch e sulla loro valutazione non su basi comuni. Nonostante l'obiettivo fosse il miglioramento della sicurezza del kernel, ora i ricercatori hanno riconosciuto che utilizzare la comunit\u00e0 come un laboratorio di prova \u00e8 stato scorretto e non etico. Tuttavia, i ricercatori assicurano che non avrebbero mai intenzionalmente danneggiato la comunit\u00e0 n\u00e9 avrebbero permesso l'introduzione di nuove vulnerabilit\u00e0 nel codice funzionante del kernel. <\/p>\n
Per quanto riguarda la patch priva di significato che ha catalizzato il blocco, essa non ha alcuna relazione con la ricerca passata ed \u00e8 collegata a un nuovo progetto mirato alla creazione di strumenti per l'identificazione automatizzata degli errori che sorgono a causa dell'aggiunta di altre patch. <\/p>\n
Attualmente i membri del gruppo stanno cercando modi per tornare a partecipare allo sviluppo e intendono ristabilire i rapporti con la Linux Foundation e la comunit\u00e0 degli sviluppatori, dimostrando la loro utilit\u00e0 nel migliorare la sicurezza del kernel e esprimendo il desiderio di lavorare intensamente per il bene comune e per riconquistare la fiducia. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"