צוות מאוניברסיטת מינסוטה הסביר את המניעים להתנסות בהתחייבויות מפוקפקות לליבת לינוקס

קבוצת חוקרים מאוניברסיטת מינסוטה, ששינוייה נחסמו לאחרונה על ידי גרג קרואה-הרטמן, פרסמה מכתב פתוח שבו מתנצלים ומסבירים את המניעים לפעילותם. נזכיר שהקבוצה חקרה חולשות בסקירת התיקונים הנכנסים והעריכה את האפשרות לקדם שינויים עם נקודות תורפה נסתרות בקרנל. לאחר קבלת תיקון מפוקפק עם תיקון חסר משמעות מאחד מחברי הקבוצה, ההנחה הייתה שהחוקרים שוב מנסים לערוך ניסויים במפתחי הקרנל. מכיוון שניסויים כאלה עלולים להוות איום אבטחה וגוזל זמן מהמבצעים, הוחלט לחסום את קבלת השינויים ולשלוח את כל התיקונים שהתקבלו בעבר לבדיקה חוזרת.

במכתבה הפתוח ציינה הקבוצה כי פעילותם נבעה אך ורק מתוך כוונות טובות ורצון לשפר את תהליך סקירת השינוי על ידי זיהוי וביטול חולשות. הקבוצה בוחנת את התהליכים המובילים לפרצות כבר שנים רבות ופועלת באופן אקטיבי לזיהוי וביטול פרצות בליבת לינוקס. כל 190 התיקונים שנשלחו לבדיקה חוזרת נחשבים לגיטימיים, מתקנים בעיות קיימות ואינם מכילים באגים מכוונים או נקודות תורפה נסתרות.

המחקר המדאיג על קידום פגיעויות נסתרות נערך באוגוסט האחרון והוגבל להגשת שלושה תיקוני באגים, שאף אחד מהם לא נכנס לבסיס הקוד של הליבה. הפעילות הקשורה לתיקונים אלו הוגבלה לדיון בלבד והתקדמות התיקונים הופסקה בשלב שלפני הוספת השינויים ל-Git. הקוד לשלושת התיקונים הבעייתיים טרם סופק, שכן הדבר יחשוף את זהותם של מי שביצעו את הבדיקה הראשונית (המידע ייחשף לאחר קבלת הסכמת מפתחים שלא זיהו את השגיאות).

המקור העיקרי למחקר לא היה התיקונים שלנו, אלא הניתוח של התיקונים של אנשים אחרים שנוספו אי פעם לקרנל, שבגללם פרצות צצו לאחר מכן. לצוות של אוניברסיטת מינסוטה אין שום קשר להוספת התיקונים הללו. סה"כ נחקרו 138 טלאים בעייתיים שהובילו לשגיאות, ועד לפרסום תוצאות המחקר תוקנו כל השגיאות הקשורות, כולל בהשתתפות הצוות שעורך את המחקר.

החוקרים מצטערים על כך שהשתמשו בשיטה ניסויית לא הולמת. הטעות הייתה שהמחקר נערך ללא קבלת רשות וללא הודעה לקהילה. המניע לפעילות הנסתרת היה הרצון להשיג את טוהר הניסוי, שכן ההודעה עלולה למשוך תשומת לב מיוחדת לטלאים ולהערכתם שלא על בסיס כללי. למרות שהמטרה לא הייתה לשפר את אבטחת הליבה, החוקרים הבינו כעת שהשימוש בקהילה כשפן ניסיונות הוא לא הולם ולא אתי. יחד עם זאת, החוקרים מבטיחים שלעולם לא יפגעו בכוונה בקהילה ולא יאפשרו הכנסת נקודות תורפה חדשות לקוד הגרעין הפועל.

באשר לתיקון חסר התכלית ששימש כזרז לאיסור, הוא אינו קשור למחקר הקודם ומשויך לפרויקט חדש שמטרתו ליצור כלים לזיהוי אוטומטי של שגיאות המופיעות כתוצאה מהוספת תיקונים אחרים.

חברי הקבוצה מנסים כעת למצוא דרכים לחזור לפיתוח ומתכוונים לתקן את הקשר שלהם עם קרן לינוקס וקהילת המפתחים על ידי הוכחת התועלת שלהם בשיפור אבטחת הליבה והבעת רצון לעבוד קשה למען הכלל ולהחזיר את האמון.

מקור: OpenNet.ru